Consigli per sicurezza server

[EgoAleSum]

Salve,
sono un nuovo utente e mi sono registrato per chiedervi il vostro parere...

Ho un server web ospitante un sito contenente dati delicati degli utenti. Quindi, vorrei ottenere la massima sicurezza possibile.

Questo è ciò che ho fatto finora:
- il server è Debian Etch 64 bit, con installazione minimale
- gli unici server installati sono SSH (ovviamente ), Apache2 (quello presente nei repositories ufficiali di Debian), PHP 5.2.8 (pacchetti di dotdeb.org, contenenti anche patch come la suhoshin) e MySQL 5.0 (sempre dai pacchetti di dotdeb.org)
- non ho installato alcun server FTP: utilizzo solamente SFTP (FTP over SSH). ciò mi consente di avere un demone in meno in esecuzione, oltre al fatto che SFTP è più sicuro (FTP trasmette tutto in chiaro, compresi i dati di login)
- i file "sensibili" sono memorizzati in una cartella fuori dalla document_root di apache
- ho disabilitato tutti gli .htaccess (tutte le impostazioni le faccio direttamente nel file httpd.conf)
- ho nascosto la signature del server
- ho disabilitato queste funzioni nel file php.ini: phpinfo, dl, curl_exec, curl_init, curl_multi_exec, parse_in i_file, passthru, show_source, proc_close, proc_get_status, proc_nice, proc_open , proc_terminate, exec, shell_exec, system, popen, pclose,pfsockopen, leak, apac he_child_terminate, posix_kill, posix_mkfifo, posix_setpgid, posix_setsid, posix _setuid, escapeshellcmd, escapeshellarg
- dl() è disattivo, e PHP è impostato per non mostrare gli errori ma loggarli solamente

c'è qualcos'altro che posso fare?

ho letto in giro del chrooting, ma, a parte il fatto che non sono riuscito a configurarlo , molti sostengono che sia inutile in quanto facilmente superabile...

grazie in anticipo per le vostre risposte.

ciao,
alessandro

[activ]

e a livello di firewall non ha fatto nulla?

non serve a molto impostare correttamente solo apache

[EgoAleSum]

grazie per la risposta.

sinceramente, al firewall non ci ho neanche pensato...
il mio server non è in casa, ma ospitato da OVH. non mi sono neanche posto il problema, in quanto credo che il filtraggio sia fatto da loro con dei firewall hardware, su tutta la rete... mi sbaglio?

dici che secondo te dovrei comunque usare un firewall nonostante la protezione dell'host? se sì, hai qualche articolo che mi spieghi da dove cominciare?

[activ]

una protezione a livello hardware è solo il primo passo verso una buona protezione, non è sufficiente, chiramente dipende dai dati.



quello che sto per scrivere mi porterebbe fuori argomento, Marketto non me ne vorrà male ......

linux di default ha nel kernel un componente che si chiama netfilter che si occupa della gestione dei pacchetti in entrata e uscita (funge da firewall), netfilter viene gestito da un programma che si chiama iptables...

trovi interessanti articoli, spiegazioni e suggerimenti su netfilter/iptables qui

[EgoAleSum]

uhm... ti ringrazio per l'articolo... in effetti, avevo già sentito parlare di iptables l'unico problema è: che tipo di regole devo usare?

[activ]

siamo OT

apri un 3d in linux, comunque anche su quell'articolo ci sono diverse regole utili

non si posso riepilogare le regole in un solo 3d... la sicurezza dei server è molto vasto come argomento, ci sono dei libri

[EgoAleSum]

ho visto... c'è qualche esempio... poi, ho trovato questa guida direttamente scritta dal mio host: http://help.ovh.com/FireWall (quindi si presume sia ottimizzata per OVH ). ora lo sto mettendo in pratica... grazie per le informazioni.

riguardo al resto, per tornare in topic, c'è qualcos'altro che dovrei fare, secondo te?

[activ]

credimi... la sicurezza dei server non può essere riepilogata velocemente e su poche righe.

ci sono tante tante cose da considerare, prima fra tutte l'esperienza, inizia a fare le cose che ti ho già accennato... il resto verrà da se

[mardux]

un'altra cosa che potresti fare è disabilitare l'accesso a root via SSH (lo fai dalla conf di SSHD).

crei un'utente limitato, ad esempio ssh, che è l'unico che può accedere via SSH (e può fare solo quello), e una volta dentro tramite su root diventi root

[bereshit]

dal sito di debian

http://www.debian.org/doc/manuals/se.../index.en.html