[Desktop] Linux-Server absichern?

wanie · 1 April 2005

Linux-Server absichern?

Hi!

Ich habe einen linux server, der hinter einem Router steht, jedoch ist für den server ein DMZ host offen, das heißt das der Server nicht hinter der Firewall des Routers steht, und somit alles für ihn offen ist.

Da Ich in meiner Log schon desöffteren fehlgeschlagene einlogversuche (per ssh mit den namen Test, user, root, usw.) bemerkt habe, Mache ich mir nun ernsthafte gedanken über die Sicherheit!
Wie kann man ein solches System richtig absichern, bzw. gibt es programme, die bei zb. fehlgeschlagenen einlogversuchen eine systemmail an den root schicken, oder kann man dafür evtl. eine extrag log datei machen?

Mein System:
- Linux Slackware 8.1 (fragt nciht warum das so alt ist, is halt so

)
- FTP Server --> Glftpd auf port 21 (ohne anonymen zugriff, kommt jedoch bald)
- HTTP Server --> Apache
- Telnet und SSH server ist offen, bei SuSe hieß das immer Finger, warum das bei Slackware anders heißt... kp
- Webmin ist zwar installiert, aber standartmäßig off, und nur für den zweck da wenn ich in der bash mal nicht ganz durchblick
- Firewall ist meines wissens off (Da mir mal jemand gesagt hat die standart LLinux Firewall wär eh spielzeug hab ich das erstmal gelassen. Stimmt es den überhaupt, bzw. kennt ihr eine gute?

Was ich mir wünsche:
- Aufjedenfall irgendeinen Daemon, der Fehlgeschlagene logins, sowit nukes und sonst sofort per mail oder sonstwie an den root weitergibt.
- Eine gute Firewall
- Evtl. ein virenchecker da ich auf meinem FTP server viele dateien bekomme, und diese evtl. infiziert sein könnten (Oder ist soetwas weniger relevant? ich hab ja eh auf jedem win client nen viren progi)

Ich bin natürlich für jeden weiteren Vorschlag Überaus dankbar!!!

So ihr linux Gurus, behaltet euer Wissen nicht für euch, sondern gebt es an neulinge wie mich weiter

PS: welche passwortverschlüsselung ist die beste? ich GLAUBE ich benutze momentan blowfish...

MfG
wanie

Deever · 3 April 2005

Re: Linux server absichern?

- Linux Slackware 8.1 (fragt nciht warum das so alt ist, is halt so )

Das Alter des Systems spielt keine Rolle, solange du die Software aktuell hältst.

- FTP Server --> Glftpd auf port 21

Durch PureFTPd ersetzen oder besser gleich ganz auf FTP verzichten. HTTPS, SSH/SCP oder SFTP existieren.

(ohne anonymen zugriff, kommt jedoch bald)

Anonymer Schreibzugriff? Keine gute Idee.

- HTTP Server --> Apache

Allenfalls durch lighttpd ersetzen.

- Telnet und SSH server ist offen

Telnet deaktivieren. Bei SSH könntest du dir über Public Key Authentification Gedanken machen, Brute Force wird so zwecklos.

bei SuSe hieß das immer Finger, warum das bei Slackware anders heißt... kp

Deaktivieren.

- Webmin ist zwar installiert, aber standartmäßig off, und nur für den zweck da wenn ich in der bash mal nicht ganz durchblick

Für solche Fälle gibts Manuals, Foren und Google, nicht webmin.

- Firewall ist meines wissens off

"Deines Wissens"? Was ist denn überhaupt eine Firewall? Richtig: ein Konzept zur Verbindungskontrolle zwischen zwei Netzwerken.

(Da mir mal jemand gesagt hat die standart LLinux Firewall wär eh spielzeug hab ich das erstmal gelassen. Stimmt es den überhaupt, bzw. kennt ihr eine gute?

Heiko Schlenker, ein Profi, hat hierfür einen passenden Spruch auf Lager:

In eines tumben Toren Hand
ist das beste Werkzeug Tand.

- Aufjedenfall irgendeinen Daemon, der Fehlgeschlagene logins, sowit nukes und sonst sofort per mail oder sonstwie an den root weitergibt.

syslog-ng und Tools wie logwatch.

- Eine gute Firewall

Nein.
Höchstens ein Packetfilter, der eine Burstrate setzt, also nicht mehr als eine bestimmte Anzahl Pakete pro IP, Port und Zeit zuläßt.

- Evtl. ein virenchecker da ich auf meinem FTP server viele dateien bekomme, und diese evtl. infiziert sein könnten (Oder ist soetwas weniger relevant? ich hab ja eh auf jedem win client nen viren progi)

Clamav. Wenn es denn unbedingt sein muss.

Ich bin natürlich für jeden weiteren Vorschlag Überaus dankbar!!!

Halte die Komplexität deiner Systeme so niedrig wie möglich. Das heißt: Installier nur das Nötigste.
Ach ja, und reparier deine "!"-Taste!

PS: welche passwortverschlüsselung ist die beste? ich GLAUBE ich benutze momentan blowfish...

Die beste ist keine. Public Key Authentication heißt das Zauberwort. Leider ist das Ding ggf. nicht luserkompatibel.

Vielleicht spezifizierst du die Kiste genauer. Was und für was/wen/wieviel soll die überhaupt "serven"?

Gruß,
/dev

wanie · 3 April 2005

Also erstmal vielen dank für die Ausführliche antwort.

Die kiste sollte eigentlich nur zum Home gebrauch dienen, hier und da mal ne Webseite ablegen, und halt mit bekannten daten über FTP austauschen. (was auch der grund ist, das ich den unbedingt behalten will)

Warum soll ich als webserver einen anderen als Apache nehmen, man sagt doch 60% aller server benützen Apache oder? Ich dachte immer der wäre relativ sicher...

Zum anonymen ftp:
eigentlich nur einen ordner (incoming) mit schreibzugriff, und da ich glftpd habe, und der relative pfade benützt, sollte es doch recht sicher sein, oder nicht?

Gibt es denn vielleicht Tipps, wie man seine Firewall sehr sicher einstellen kann, den wie du geschrieben hast, das beste werkzeug nutz einem nichts wenn er nicht mit umgehen kann

Aber erstmal ein dickes Lob und vielen Dank für deine ausführliche antwort, ich werde nach und nach die tipps versuchen zu verwirklichen.

Gruß
wanie

Viper · 3 April 2005

Zum anonymen ftp:
eigentlich nur einen ordner (incoming) mit schreibzugriff, und da ich glftpd habe, und der relative pfade benützt, sollte es doch recht sicher sein, oder nicht?

Ein anonymer Schreibzugriff ist das dümmste was man machen kann. Als erstes musst du den gesamten FTP in ner chroot Umgebung laufen lassen, denn sonst dauerts net lang, bis dein Server zerlegt wird. Im übrigen musst du den FTP täglich kontrollieren, da anonyme FTPs gerne als Zwischenspeicher für illegale Software etc dienen! Dadurch kann man sich u.a. auch strafbar machen...

Gibt es denn vielleicht Tipps, wie man seine Firewall sehr sicher einstellen kann, den wie du geschrieben hast, das beste werkzeug nutz einem nichts wenn er nicht mit umgehen kann

Unter Linux kann man sich mit iptables äußerst effektive Firewalls definieren! Allerdings ist iptables genauso gut wie komplex, also wirst du nicht um eine entsprechend lange oder kurze Einarbeitungszeit herum kommen. Ein gutes Buch wäre hier empfehlenswert.

Gruß Viper

Deever · 4 April 2005

halt mit bekannten daten über FTP austauschen. (was auch der grund ist, das ich den unbedingt behalten will)

Also für sporadischen Datenaustausch reicht imho HTTP PUT aus, für den Rest gibts wie gesagt SFTP/SCP. FTP macht nur noch Sinn um Dateien anonym zum Download bereitzustellen. Und auch hier würd ich imho lieber HTTP nehmen.

Warum soll ich als webserver einen anderen als Apache nehmen

Wegen Apache. Das Monster ist für große Sites vielleicht die Software der Wahl, für deinen Einsatzzweck aber hoffnungslos oversized.

man sagt doch 60% aller server benützen Apache oder?

Man sagt auch, 98% aller Systeme benutzen Windous.

Ich dachte immer der wäre relativ sicher...

"Relativ sicher"?

eigentlich nur einen ordner (incoming) mit schreibzugriff

Anonymer Schreibzugriff ist Schwachsinn, vergiß das. Wenn schon FTP-Schreibzugriff, dann authentifiziert und über SSL verschlüßelt.

und da ich glftpd habe

Nicht, daß ich mir den je wirklich angesehen hätte, aber das Teil scheint ziemliche Bloatware zu sein.

und der relative pfade benützt

Relative Pfade?

Gibt es denn vielleicht Tipps, wie man seine Firewall sehr sicher einstellen kann

"Sicher"[tm] in Bezug auf welche Szenarien und unter welchen Umständen?

den wie du geschrieben hast, das beste werkzeug nutz einem nichts wenn er nicht mit umgehen kann

Beschäftige dich mal mit IP/TCP/UDP/ICMP, dem OSI-Modell und dem ganzen Gerümpel. Wenn ich zu Hause bin, werd ich mal nen paar Links raussuchen.

Gruß,
/dev

Viper · 4 April 2005

Also für sporadischen Datenaustausch reicht imho HTTP PUT aus, für den Rest gibts wie gesagt SFTP/SCP. FTP macht nur noch Sinn um Dateien anonym zum Download bereitzustellen. Und auch hier würd ich imho lieber HTTP nehmen.

Ich hätte mal eine Frage an dich @Deever: Welche Distribution setzt du ein? Ich habe nämlich das Problem, dass ich SFTP nicht einsetzen kann, da ich ein Debian Woody System habe und Backports nicht verwenden will, da man damit eigentlich nur Probleme hat.

Wegen Apache. Das Monster ist für große Sites vielleicht die Software der Wahl, für deinen Einsatzzweck aber hoffnungslos oversized.

Das sehe ich nicht so. Man sollte sich lieber von Anfang an an den Standard gewöhnen. Apache ist recht sicher, wenn man es anständig konfiguriert!

Gruß Viper

/edit: Ich habe mich jetzt doch nochmal dazu entschlossen einen Backport einzusetzen. Läuft bis jetzt ganz gut... SCPonly ist schon was feines *g*!

wanie · 4 April 2005

Also mit relativen pfaden bei glftpd meine ich das es eine chroot umgebung ist, und ich den pfad /ftp/wanie zum beispiel für den user wanie als /setzen kann...
Das mit dem anonymen schreibzugriff habe ich mir mitlerweile schon aus dem kopf geschlagen.

Ich wäre dir sehr dankbar über gute links bzw. gute tuts oder pdf files über netzwerke und so weiter.

"Sicher"[tm] in Bezug auf welche Szenarien und unter welchen Umständen?

Da bin ich mir wohl selber noch nicht so ganz im klaren, aber ich denke wenn ich mich etwas damit befasse, ergeben sich da wohl schon die ein oder andere "fachgerecht" gestellte frage.

MfG
wanie

Deever · 6 April 2005

Original geschrieben von Viper
Ich hätte mal eine Frage an dich @Deever: Welche Distribution setzt du ein?

Gentoo.

Ich habe nämlich das Problem, dass ich SFTP nicht einsetzen kann, da ich ein Debian Woody System habe und Backports nicht verwenden will, da man damit eigentlich nur Probleme hat.

Nicht, daß ich Debian jetzt näher kannte, aber man scheint damit immer Probleme zu haben, sobald man etwas tun will, was sie[tm] nicht wollen.

Das sehe ich nicht so. Man sollte sich lieber von Anfang an an den Standard gewöhnen.

Damit zwingst du dich zu Wintendo.

Apache ist recht sicher, wenn man es anständig konfiguriert!

Sicherheit bezieht sich immer auf ein bestimmtes Szenario und ist dort binär. Konstrukte wie "recht sicher" oder "sicherer" sind also völlig sinnbefreit.

Gruß,
/dev

Deever · 6 April 2005

Original geschrieben von wanie
Also mit relativen pfaden bei glftpd meine ich das es eine chroot umgebung ist, und ich den pfad /ftp/wanie zum beispiel für den user wanie als /setzen kann...

Ah so.

Das mit dem anonymen schreibzugriff habe ich mir mitlerweile schon aus dem kopf geschlagen.

Zum Vergrößern anklicken....

Gut!

Ich wäre dir sehr dankbar über gute links bzw. gute tuts oder pdf files über netzwerke und so weiter.

Zum Vergrößern anklicken....

Die Linuxfibel ist sehr brauchbar, gerade wenns um so Grundlegendes wie TCP/IP geht. Sonst kann ich noch die Wikipedia empfehlen. Den Standard-Tipp Google natürlich inklusive.

Zum Thema "Feierwhoal" oder Personal Firewalls hätte ich noch diese Links auf Lager:
http://www.iks-jena.de/mitarb/lutz/usenet/Firewall.html
http://www.iks-jena.de/mitarb/lutz/usenet/Firewall.html#PMTUD

Gruß,
/dev

Zum Vergrößern anklicken....

fso_jules · 4 März 2007

SSH-Server absichern

Hier ein gutes Tutorial zum absichern eines SSH-Servers:

Tutorial

tlx · 4 März 2007

Grundlegend seh ich da eine Möglichkeit, wenn man z.B. wu-ftpd oder proftpd einsetzt, dass amn schon recht einfach einen sicheren Server aufziehen kann. Definition "sicher": nur berechtigte User können in fix definierte Verzeichnisse eine gewisse (fix definierte) Menge an Daten schreiben, jedoch das restliche System NICHT infiltrieren.

Zum Thema Firewall möchte ich nur anmerken, dass die beste Firewall jene ist, die alles ablehnt/dropt/rejected AUSSER jener fix definierten Dienste, die man zusätzlich noch auf bestimmte Hosts (in einer Whitelist z.B.) einschränkt, von denen eine Verbindung akzeptiert wird.

Für jegliche Dienste, die man im allgemeinen gern verwendet, gibt es heutzutage schon entsprechende Gegenstücke, die TLS/SSL können. Ich erinnere nur an POP3/POP3S oder IMAP/IMAPS. Sinnlose Sicherheitslöcher öffnet man mit jedem Dienst, den man nicht wirklich benötigt: telnet, finger, daytime, ident, talk ... eben den ganzen Kram, den man in den 80er Jahren so verwendet hat, als es noch nichts anderes gab.

Wenns denn wirklich sehr restriktiv sein soll, und somit sehr schwer, eine Lücke im System zu verwenden, dann wirf einen Blick auf SELinux. Aber gleich vorab, das könnte ein schwer zu verdauender Brocken sein

[Desktop] Linux-Server absichern?

wanie

bekommt Übersicht

Deever

treuer Stammgast

wanie

bekommt Übersicht

Viper

treuer Stammgast

Deever

treuer Stammgast

Viper

treuer Stammgast

wanie

bekommt Übersicht

Deever

treuer Stammgast

Deever

treuer Stammgast

fso_jules

Erster Beitrag

tlx

treuer Stammgast