אבטחת שרתים

[מנוי פרימיום]

רכשתי שרת VPS (לינוקס)
התקנתי עליו שרת apache
בשלב הבא אני מתקין צד שרת PHP או node.js

השאלה העיקרית שלי - איך אני מאבטח את השרת
בשביל למסור ללקוחות שלי את האתר בלב רגוע (אם שייך דבר כזה בכלל)?

 

[גזעי]

מה הכוונה לאבטח? שלא יגנבו לך את השרת?

 

[ynigun]

התקנתי עליו שרת apache

למה apache? עדיף ngnix או caddy.

השאלה העיקרית שלי - איך אני מאבטח את השרת

א. חוסם את פורט 22 (SSH) לעולם
אם זה לא אפשרי לפחות להתקין כלי שחוסם כתובת IP אחרי X ניסיונות כושלים.
ב. מגביל את ההרשאות של נוד/PHP למה שצריך ולא יותר.
ג. מגדיר סיסמה טובה למסד נתונים + לא פותח אותו לבקשות חיצוניות אם לא צריך.
ד. למיטיבי לכת אפשר להתקין WAF לחסימת מתקפות נפוצות.
ה. לא להתקין תוכנה בלי להבין מה מוגדרת בהגדרות ברירת מחדל (למשל בapache בברירת מחדל האינדקס פתוח וזה מתכון לצרות)

 

[s976]

רכשתי שרת VPS (לינוקס)
התקנתי עליו שרת apache
בשלב הבא אני מתקין צד שרת PHP או node.js

השאלה העיקרית שלי - איך אני מאבטח את השרת
בשביל למסור ללקוחות שלי את האתר בלב רגוע (אם שייך דבר כזה בכלל)?

בשביל הדברים שהזכרת לא צריך משהו מיוחד. יותר דברים כלליים כמו סיסמאות חזקות
למשל סיסמה premium2022 זו סיסמא גרועה מאוד. סיסמא טובה אמורה להיראות כך:
PwW4WCW8wKA0QMKRc21#45UfXPW
אבל אני מתאר לעצמי שתתקין עוד דבר אחד או שניים (מסד נתונים אין לך?) ותעלה איזו אפליקציה, וכאן מתחילה החגיגה האמתית.

 

[מנוי פרימיום]

אבל אני מתאר לעצמי שתתקין עוד דבר אחד או שניים (מסד נתונים אין לך?) ותעלה איזו אפליקציה, וכאן מתחילה החגיגה האמתית.

אני מניח שמסד נתונים אמור להיות פתוח רק ל-localhost

 

[מנוי פרימיום]

א. חוסם את פורט 22 (SSH) לעולם

זה נושא מאוד בעייתי בסינון של נטפרי
הייתה לי כתובת IP קבועה למשך שנה מהספק
ובימים האחרונים אחרי כמה נפילות החליפו את כתובת ה-IP (מניח שעברו למכונה אחרת)
יש דרך לאפס את החסימה הזו אם ננעלתי בחוץ?

אם זה לא אפשרי לפחות להתקין כלי שחוסם כתובת IP אחרי X ניסיונות כושלים.

אני מבין שזה טוב כל עוד כל החומות סגורות
כי אם יש אפילו פרצה אחת שמומשה - גם fail2ban לא יעזור

 

[ynigun]

אני מבין שזה טוב כל עוד כל החומות סגורות
כי אם יש אפילו פרצה אחת שמומשה - גם fail2ban לא יעזור

הסיכוי שימצאו חולשה בSSH שמאפשר שליטה מרחוק קיים אבל נמוך
למעשה אפשר להגדיר את הSSH שיאזין בפורט אחר ומספר ההתקפות יורד משמעותית.
אם אין כתובת IP קבועה אפשר להשתמש בPort knocking.

 

[מנוי פרימיום]

אם אין כתובת IP קבועה אפשר להשתמש בPort knocking.

תודה, בעקבות התגובה שלך מצאתי את המסמך הזה שמפרט על הנושא -

https://www.digitalwhisper.co.il/files/Zines/0x02/DW2-5-Port-Knocking.pdf

 

[שימיגם]

רכשתי שרת VPS (לינוקס)
התקנתי עליו שרת apache
בשלב הבא אני מתקין צד שרת PHP או node.js

השאלה העיקרית שלי - איך אני מאבטח את השרת
בשביל למסור ללקוחות שלי את האתר בלב רגוע (אם שייך דבר כזה בכלל)?

סתם שאלה מעצבנת, יש יתרון כלשהוא בשרת פרטי מאשר לרכוש זיכרון בחוות שרתים בעולם?

 

[מנוי פרימיום]

סתם שאלה מעצבנת, יש יתרון כלשהוא בשרת פרטי מאשר לרכוש זיכרון בחוות שרתים בעולם?

בד"כ ברכישת אחסון אתרים תוכל להריץ רק PHP

ואם כבר מדברים על הנושא - אשמח לשמוע מהמומחים כאן האם תוכנית אירוח אתרים עם node.JS מוגבלת יותר מאשר התקנת node.JS על שרת פרטי?

 

[yonatanp]

בד"כ ברכישת אחסון אתרים תוכל להריץ רק PHP

ואם כבר מדברים על הנושא - אשמח לשמוע מהמומחים כאן האם תוכנית אירוח אתרים עם node.JS מוגבלת יותר מאשר התקנת node.JS על שרת פרטי?

בהחלט , תוכנית אירוח שיתופי שתומכת ב NODEJS היא מאוד מוגבלת, זה מגיע כ"אופציה" בשרת אחסון שמכיל גם אתרי PHP, וזה מגיע עם הגבלות זמן ריצה + זכרון , זה טוב לפיתוח ראשוני, אבל ברגע שאתה מעלה את המערכת לפרודקשן, זה נופל על משאבים.

אני באופן אישי לא מציע את זה בשרתים השיתופיים שלי בגלל המגבלות משאבים והטבע של שרת שיתופי, זה פשוט לא רציני,
, אני מציע ללקוחות שלי NODEJS רק תחת שרת יעודי, או שרת וירטואלי מנוהל , ששם אתה יודע מראש מה המשאבים שאתה רוכש.

רכשתי שרת VPS (לינוקס)
התקנתי עליו שרת apache
בשלב הבא אני מתקין צד שרת PHP או node.js

השאלה העיקרית שלי - איך אני מאבטח את השרת
בשביל למסור ללקוחות שלי את האתר בלב רגוע (אם שייך דבר כזה בכלל)?

לפתוח האשכול, על קצה המזלג, לאבטח את השרת לא מסתכם בהגדרות ראשוניות, זו עבודה במשרה מלאה,
מלבד ההתקנות שהמליצו לך כאן, אנטי וירוס, חסימות פורטים או WAF, שזה מצויין
יש צורך בתחזוק קבוע למערכת , התקנת טלאי אבטחה, ניטור השרת, ביצוע סריקות אבטחה חיצוניות.
תחזוקה תקופתית מאוד חשובה.

נקודתית לגבי ה NODE, מומלץ שלא לחשוף אותו ישירות לרשת, אלה להעבירו דרך שרת "מתווך" , סוג השרת פחות חשוב, כמו שהמליצו לך כאן יש nginx apache וכו', זה לא משנה באיזה להשתמש, העיקר לא לחשוף את ה node ישירות לרשת.

מקווה שעזרתי לך קצת להבין מה צריך לעשות.

אחסון אתרים סקיור הוסט | SecureHost Hosting | שרתים בכל סדר גודל

אחסון אתרים מנוהל בטכנולוגיה מתקדמת | שרתים וירטואלים עם משאבים מובטחים | שרתים יעודיים מנוהלים | התקנה והתאמה אישית | שירותי אבטחת מידע לאתר

www.securehost.co.il