sicherer Webserver

[Liscom]

Also ich habe nen Webserver und möchte den natürlich so sicher wie möglich haben. Kann mir jemand nen Tool oder was ähnliches nennen, womit ich meinen Server nach "Löchern" überprüfen kann?

Ich möchte hier noch kräftig betonen das es sich um meinen eigenen Webserver handelt und ich nicht vorhaben anderen damit zu schaden!

Ich hab schon gegoogelt, aber dann landet man fürher oder später auf irgendwelchen zwielichtigen Hackerseiten und den Tools dort traue ich nicht über den Weg.

[Jorge]

Tools dafür wirst Du keine finden, setze Deinen gesunden Menschenverstand ein und Du wirst auf folgende Punkte kommen:

[list=1]
httpd darf nicht als root laufen -> httpd.conf
Kein chmod 777 auf htdocs
Auf Bugfixes für httpd, PHP, MySQL uws. reagieren
Keine unnötigen Scripte verwenden
Scripte nur nach genauer Überprüfung einsetzen
Gib bestimmt noch mehr...!
[/list=1]

[Liscom]

Gibt sicherlich noch einiges mehr und einen komplett sicheren Webserver gibt es nur wenn er down ist ;-)

Was ich viel mehr meine ist "die Sicherheit von aussen". Ich hab mit iptables den Server so gut wie möglich abgesichert, aber ich bin mir bei manchen Dingen nicht ganz sicher. Ich weiß nicht 100%ig welches Ports offen sein müssen, damit bestimmte Dienste noch laufen. Bei vielen weiß ich es, aber halt nicht bei allen.

Einerseits will ich mich auf keinen Fall "aussperren", andererseits will ich anderen nicht die Tür öffnen. Es gibt doch bestimmt Tools o.ä. wie Portscanner oder sowas, mit denen man seinen Server überprüfen kann. Ich habe schon danach gegoogelt, aber wo man da früher oder später landet, könnt Ihr euch sicherlich denken :ugly:

[Spike05]

Original geschrieben von Liscom

Einerseits will ich mich auf keinen Fall "aussperren", andererseits will ich anderen nicht die Tür öffnen. Es gibt doch bestimmt Tools o.ä. wie Portscanner oder sowas, mit denen man seinen Server überprüfen kann. Ich habe schon danach gegoogelt, aber wo man da früher oder später landet, könnt Ihr euch sicherlich denken :ugly:

Da kannst du mal hier im Forum danach suchen. Gerade im Forum "Sicherheit" wirst du einiges dazu finden, da deine Frage schon öfters gestellt wurde.

Gruß

Jochen

[emba]

hm

da ich nicht weiß, was noch so für daemons auf deinem rechner laufen (normalerweise sollte es wahrlich nur der apache sein), kann ich hier auch nur allgemeine statements abgeben

- aktuelle patches einspielen
- den daemon nur auf erforderlichen interfaces laufen lassen
- (x)inet.d totlegen (auskommentieren)
- verschlüsselte, lange passwörter verwenden (shadow, md5)
- wenn keine dienste weiter laufen, brauchst auch keine firewall
- DoS prävention [1]
- kernel härten (grsec, gradmin)
- distribution abspecken (nur wirklich genutzte pakete installieren)
- täglich security news lesen
- apache chrooten
- rechte auf verzeichnisse "vernünftig" setzen (dateien nur für user "www" lesbar)
- falls erweiterungen wie perl und php installiert sind, deren securityfunktionen aktivieren (codeprüfung, ... ) [2]


greez


[1]
http://www.heise.de/security/artikel/43066

[2]
http://www.php.net/manual/de/security.php

[core]

Zum Scannen nach Sicherheitslöchern ist nessus ganz gut, findest du über google.
Um deinen PC von aussen mal zu scannen, kannst du dich hier umschauen:
http://www.port-scan.de/
http://scan.sygate.com/
http://check.lfd.niedersachsen.de/

[Liscom]

Also nessus scheint sowas zu sein wie ich suche, nur leider ist keine Hilfe/Anleitung dabei. www.nessus.org scheint auch nicht zu funzen. Hat jemand ne Anleitung oder nen HOW TO dafür?

[core]

http://www.nessus.org/documentation.html
Funktioniert hier 1a
Versuch's nochmal oder den google-cache

[MS-Networker]

Schau mal auf dieser seite nach http://www.insecure.org/tools.html

es sind spezielle Progs für da um einen Webserver nach sicherheitslöchern zu überprüfen, vielleicht wirst DU da fündig, gibts massenweise tools..

Greetz MS-Networker

[h2o471]

hallo,

ganz wichtig wenn du php laufen hast:
in der php.ini
register_globals=Off

gruß
mirko jerschabek