Onko joku pöpö ubuntu server editioniin tullut

[John Rivera]

Voisiko tässä nyt olla semmoinen hyvä lähtökipinä semmoiselle aiheelle että joku tekisi seikkaperäisen ohjeen jolla palvelinympäristön saa turvallisesti etähallittavaksi ja muutenkin käytettäväksi? Itseäni ainakin kiinnostaa seuraavat asiat:

-SSH avaimet + port knocking (voiko molempia käyttää yhtäaikaa?)
-SSH avaimien päivitys esim. kerran viikossa (windows koneille oon joutunu aina puttygen työkalulla tekemään avaimet ja kopioimaan palvelimen suuntaan, ubuntuissa pelaa fiksummatkin työkalut)
-Webmin vain SSH:n kautta (kait tämänkin saa konffattua kuuntelemaan vain localhostia?)
-Snort + loggaus/mailiin ilmoituksia jos tulee jotain höpöä (Snortista ei ole mitään käsityksiä, mutta ilmeisesti olisi melko tärkeä? )
-Automaattiset virustarkistukset tiedostoille (clamav:n kai saa jollain nuuskimaan levyjä automaattisesti aina kun uusi tiedosto putkahtaa levylle?)
-Turvalliset säännöt palomuuriin + loggaus/mailiin ilmoituksia jos tulee jotain höpöjä

Joo tuossa on ideaa, mutta mistä löytyy riittävän tietotaitoinen ihminen nuo tekemään, sitä en osaa sanoa.

[Tunkkaamo]

Voisiko tässä nyt olla semmoinen hyvä lähtökipinä semmoiselle aiheelle että joku tekisi seikkaperäisen ohjeen jolla palvelinympäristön saa turvallisesti etähallittavaksi ja muutenkin käytettäväksi? Itseäni ainakin kiinnostaa seuraavat asiat:

-SSH avaimet + port knocking (voiko molempia käyttää yhtäaikaa?)
-SSH avaimien päivitys esim. kerran viikossa (windows koneille oon joutunu aina puttygen työkalulla tekemään avaimet ja kopioimaan palvelimen suuntaan, ubuntuissa pelaa fiksummatkin työkalut)
-Webmin vain SSH:n kautta (kait tämänkin saa konffattua kuuntelemaan vain localhostia?)
-Snort + loggaus/mailiin ilmoituksia jos tulee jotain höpöä (Snortista ei ole mitään käsityksiä, mutta ilmeisesti olisi melko tärkeä? )
-Automaattiset virustarkistukset tiedostoille (clamav:n kai saa jollain nuuskimaan levyjä automaattisesti aina kun uusi tiedosto putkahtaa levylle?)
-Turvalliset säännöt palomuuriin + loggaus/mailiin ilmoituksia jos tulee jotain höpöjä

Joo tuossa on ideaa, mutta mistä löytyy riittävän tietotaitoinen ihminen nuo tekemään, sitä en osaa sanoa.

Tähän vois aloittaa sillä että kirjoiteltaisiin ensin. www-palvelimelle pikaohjeet:

-iptables asetukset niin että vain portit 80 ja 22 vastaavat ( tai vaikka ekana ohjeena että laittaa sen ssh-daemonin vastaamaan jostain yläportista esim 22001)
-port kcnocking ohjeet (yhdessä julkaisussa oli hyvät ohjeet siihen, voisin joutessani referoida niitä)

[Tunkkaamo]

Jees. Elikkä miten palvelin suojataan riippuu tietysti siitä millainen palvelin on kyseessä.
Tästä varmaan saadaan hyvä wiki, mutta alustaa voidaan täällä:

www - palvelimen suojaus
-Varmuuskopionti (aina sääntö numero 1)
-Säännölliset käyttöjärjestelmäpävitykset (aina sääntö numero 2)
-ip - tables säännöt joilla vain http/s ja ssh sallitaan
-jos mahdollista niin ssh auki toiselle verkkokortille jolla on eri ip kuin sillä joka vastaa http:lle (koska sen ip:n näkee kaikki eli sen saa aina selville)
-ssh vastaamaan jostain yläportista ja vain "koputuksen" port knocking jälkeen.
-apachelle vielä jotain omia viriyksiä (niitä voisi alkaa kerätä tähän)