Безопасность сервера

1 234
N
На сайте с 16.11.2010
Offline
38
#31
Garin33:
p.s. быть может важность инфы несколько преувеличена.

очень важная инфа.

Garin33:
p.p.s. а еще можно арендовать второй сервер и синхронизировать их каждую ночь, или еще третий сервер.. и все в разных странах..

так и задумано.

спасибо.

noseomen добавил 09-11-2011 в 14:38

Garin33:
По насоветовали-то вам ТС сколько - аж три страницы

четвертая пошла:D

Andreyka
На сайте с 19.02.2005
Offline
822
#32
Garin33:


По насоветовали-то вам ТС сколько - аж три страницы :).
На мой взгляд все несколько усложнено - vpn, суперспециалист, без которого "не обойтись"...

Выскажу свое мнение - все описанное можно сделать самостоятельно, не прибегая к "специалистам":
как уже сказали, необходимости в VPN нет, т.к. данные будут архивироваться/шифроваться на локальном компьютере, а уже потом пересылаться на удаленный бекап-сервер.

Для безопасности что можно сделать -

1. не вешать на сервер сайт, чтобы лишний раз боты и сканеры уязвимостей не лезли. То есть сервер будет отвечать только по IP.
2. Перевесить ssh порт (и ftp), к примеру, на 10963 порт и 8523 порт соответственно. Ограничить доступ по ip для ssh (и ftp), для совсем уж параноиков отключить вход для root, и каждый раз мучить себя командами "sudo..."
3. Включить автоматическое обновление пакетов на сервере.
4. Заливать файлы через sftp или ssh.
5. Хороший пароль на сервер и антивирус с фаерволлом на локальном компе.

Кажись все.

p.s. быть может важность инфы несколько преувеличена.
p.p.s. а еще можно арендовать второй сервер и синхронизировать их каждую ночь, или еще третий сервер.. и все в разных странах..🤣

А потом эти люди плачат о том что их сайт слили вместе с базой

Не стоит плодить сущности без необходимости
N
На сайте с 16.11.2010
Offline
38
#33
Andreyka:
А потом эти люди плачат о том что их сайт слили вместе с базой

а что не так? расскажите?

izbushka
На сайте с 08.06.2007
Offline
110
#34
noseomen:
а что не так? расскажите?

Да много чего не так:

Garin33:
1. не вешать на сервер сайт, чтобы лишний раз боты и сканеры уязвимостей не лезли. То есть сервер будет отвечать только по IP.
2. Перевесить ssh порт (и ftp), к примеру, на 10963 порт и 8523 порт соответственно. Ограничить доступ по ip для ssh (и ftp), для совсем уж параноиков отключить вход для root, и каждый раз мучить себя командами "sudo..."
3. Включить автоматическое обновление пакетов на сервере.
4. Заливать файлы через sftp или ssh.
5. Хороший пароль на сервер и антивирус с фаерволлом на локальном компе.

1. зачем? имена как раз и придуманы для удобства. Тем более, что вы предлаете пункт 2.

2. Если фильтровать по ip то зачем менять порты? сами себя ломать будете?

И отключить рутовый доступ - это в первую очередь, а не для параноиков.

3. надо обновлять руками, думая при этом головой, а не автоматически.

Garin33
На сайте с 31.08.2009
Offline
169
#35

Не буду вступать в полемику с izbushka - у каждого свои методы. Сколько людей - столько и мнений, я описал свое видение решения проблемы ТС.

Можно холиварить и хаять чужие предложения до бесконечности, предлагать заплатить "спецам" за то, что настраивается за 1,5-2 часа вручную, а так же ежедневно подключаться к N серверам и пыхтя вбивать ручками что-то типа

sudo QOTF8wbqZda2a5VZJF59 apt-get update

sudo QOTF8wbqZda2a5VZJF59 apt-get upgrade

и при этом усиленно думать головой, как предлагает izbushka

Мне известно, что порой автообновление может привести к падению софта, все бывает в жизни, я описал путь наименьшего сопротивления, конечный выбор в любом случае за ТС.

От темы отписываюсь, ничего интересного не предвидится.

Потому что Drupal - это круто.
Andreyka
На сайте с 19.02.2005
Offline
822
#36
noseomen:

а что не так? расскажите?

Отсутствует комплексный подход

M
На сайте с 16.09.2009
Offline
278
#37
Garin33:
как уже сказали, необходимости в VPN нет, т.к. данные будут архивироваться/шифроваться на локальном компьютере, а уже потом пересылаться на удаленный бекап-сервер.

С этой точки зрения - вообще бекап-сервера своего не надо. Покупаете место на бекап-хостинге - и все.

Garin33:
1. не вешать на сервер сайт, чтобы лишний раз боты и сканеры уязвимостей не лезли. То есть сервер будет отвечать только по IP.

Вешать какие-то публичные сервисы на бекап-сервер - конечно, глупо. Только к доступности сервера по IP или доменному имени это не имеет никакого отношения.

Garin33:
2. Перевесить ssh порт (и ftp), к примеру, на 10963 порт и 8523 порт соответственно. Ограничить доступ по ip для ssh (и ftp), для совсем уж параноиков отключить вход для root, и каждый раз мучить себя командами "sudo..."

Параноя непричем. Доступ к сервисам, которые не являются публичными - и не должен быть таковым. Ну и отключают вход для root - вовсе не для того, чтобы себя "мучить":

izbushka:
И отключить рутовый доступ - это в первую очередь, а не для параноиков.

Это _азы_. Самая простая причина: наиболее вероятный источник поломки - Вы. Работа под обычным пользователем не позволит Вам просто из-за опечатки снести полсервера.

Garin33:
3. Включить автоматическое обновление пакетов на сервере.

И молиться?

Garin33:
Кажись все.

Даже когда Вы школу закончите - "все" Вы вряд-ли сумеете перечислить.

А все потому, что ТС покуда и задачу толком не сформулировал. Он перечислил ровно _одну_ угрозу, от которой хотел бы защититься. Критично ему, например, - если зашифрованный файл просто удалят с сервера? А все Ваши "защиты" это позволяют - причем влегкую.

Бессмысленно защищаться от всего на свете ("максимальная защита" - маркетоидный бред): секс в водолазном костюме, наверно, более чем безопасный... Но кому оно надо, ы?

Garin33:
p.s. быть может важность инфы несколько преувеличена.

Вот это единственный пункт, с которым можно согласиться.

Абонементное сопровождение серверов (Debian) Отправить личное сообщение (), написать письмо ().
Y1
На сайте с 06.02.2011
Offline
59
#38

noseomen, хреновый из Вас постановщик задач. Видел несколько Ваших тем по защите той или иной информации - везде тёмный лес, никакой конкретики.

При этом Вам уже не один раз указывали на то, что нужно определиться с ценностью информации и потенциальными угрозами, а уж потом строить защиту (сорри за оверквотинг):

izbushka:
...
Надо анализировать методы, которыми вы будете обеспечивать доступ к данным авторизованным лицам и оценивать их слабые места. Если данные на сервере вообще не будут расшифровываться, а только храниться, то задача сильно упрощается.
Без постановки конкретной задачи сложно что-то подсказать. Вобще это вопрос компромиса ценности данных и затрат на их безопасное хранение.
Andreyka:
Необходимо оценить для себя эти данные, и выделить бюджет на их защиту.
Дальше необходимо понять от чего или от кого нужно защитить данные.
...
myhand:
...
А все потому, что ТС покуда и задачу толком не сформулировал. Он перечислил ровно _одну_ угрозу, от которой хотел бы защититься. Критично ему, например, - если зашифрованный файл просто удалят с сервера? А все Ваши "защиты" это позволяют - причем влегкую.
...

Для начала - учите "матчасть". Почитайте какую-нибудь книжку по защите информации, а лучше несколько. Не забывайте, что "три кита" информационной безопасности это: конфиденциальность, целостность и доступность информации. А у Вас, пардон, из трёх только один остался, да и тот шибко урезанный )))

Порядок действий такой: строите модель защищаемой информации, потом модель угроз безопасности и только после этого - строите модель защиты информации. В текущем варианте всё наоборот: Вы ищете средство защиты, а потом придумываете как и что будете защищать. ИМХО, напоминает удаление гланд через самизнаетекакоеместо. И если в корне не поменяете подход - результат может оказаться весьма плачевным...

1 234

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий