Bizonságos Szerver Alapok Hogyan
A HupWiki-ből...
Tartalomjegyzék |
Előszó
- Ezen dokumentum célja, hogy összefoglaló leírást adjon biztonságos Linux alapú szerver építéséhez. Remélem sokan revízionálják majd és bővítik ki ötleteikkel, tanácsaikkal hiszen egy ember tudása és tapasztalata nem is lehet elég egy ilyen témájú dokumentum megalkotásakor.
- Ez a lap nem az LDP gondozásában levő Linux Security HOWTO magyar fordítása kíván lenni, hanem annál jóval több. :) Ellenben, mivel az előbbi alapműnek tekinthető az általános biztonság témakörében, sokszor hivatkozom rá, vagy idézek belőle.
- Mivel nem lehet általános leírást adni, amely minden disztribúcióval tökéletesen működik, ezért ahol ez szükséges, a Debian GNU/Linux disztribúciót fogom példaként elővenni.
Bevezetés
Néhány nem túl szorosan kapcsolódó dolog, ami említést érdemel:
Hardveres biztonság
- Semmit nem ér bármilyen szoftver által nyújtott biztonság, ha a hardver védelme nem megfelelő. Ez több dolgot is jelent:
- Szerverünk BIOS-át állítsuk be úgy, hogy ne automatikusan keresse az eszközöket (főként a diszkeket), de ne is hagyjunk semmilyen eszközcsatlakozót autodetecten! Ezáltal nem lehet más root-diszket a gépbe tenni, mint azt, amit mi tettünk bele, esetleg pont ugyanolyat.
- Szintén a BIOS-ban állítsuk be a boot sorrendet úgy, hogy mindenképpen az első és egyetlen bootolható eszköz a root-meghajtó legyen. (persze csak miután feltelepítettük a rendszert :)
- Adjunk meg BIOS-jelszót, hogy beállításainkat ne legyen olyan könnyű megbabrálni. Ez nem szuperbiztos védelem(hiszen ki ne hallott volna már BIOS crack programokról), de legalább valamelyes védelmet nyújt.
- Ha tehetjük, használjunk olyan gépházat, amelyik rendelkezik behatolásvédelemmel.
- Ha hostoltatjuk a gépet, akkor kérjük meg a hostingos kollegákat, hogy levélbeni kéréseinket PGP-aláírással azonosítsák, telefonban pedig megállapodás-szerinti jelszót kérjenek. (Ez már végképp paranoiának tűnik, de én majdnem pórul jártam amiatt, hogy valaki engem hamisított meg telefonon keresztül...)
- Ha tehetjük, használjunk hardverkulcsot. Ennek előnye, hogy gyakorlatilag lehetetlen köznapi módszerekkel visszanyerni a tartalmukat. Ha nem tehetjük meg, hogy hardverkulcsot használunk, akkor lentebb bemutatok egy olcsóbb, de kevésbé biztonságos módszert egy USB Pendrive segítségével.
Tervezés
- Mielőtt nekiugranánk a kerítésnek, azt ajánlom, hogy gondoljuk végig, mit várunk el az új szervertől. Sok későbbi kellemetlenségtől kíméljük meg magunkat, ha már az elején tudjuk hogy mit akarunk. A későbbiekben csak nagyon körültekintően módosítsuk előzetes terveinket, mert könnyen áttekinthetetlenné válik a munkánk és összetákolt érzést kelthet az egész alkotmány.
- Mindenekelőtt döntsük el, hogy milyen szolgáltatás(oka)t akarunk futtatni.
- Webkiszolgálás (esetleg dinamikus tartalommal)
- FTP
- Adatbázis-szerver
- ...
- Találjuk ki, hogy mennyire kell biztonságban tartani az adatainkat/szolgáltatásainkat.
- Mindig és mindenhol érvényes szabály, hogy drágább legyen betörni a rendszerbe, mint amennyit érnek a rajta levő adatok/szolgáltatások. (FIXME:Kitől ered?) Lehetőleg költsünk - nem feltétlenül csak pénzt - is annyit (és ne csak ezt a doksit olvassuk el ;) a szerverre, amennyit ér a rajta levő adat/szolgáltatás, vagy ne várjunk túl sokat tőle...
- Döntsünk a diszk-politikáról
- Mennyi hely kell a root-partícióra?
- Én személy szerint 10 Gb-ot szoktam beállítani, több dolog miatt is. (Később részletesebben)
- Milyen tárhelyigénnyel kell számolnunk az egyes szolgáltatásokra?
- Például web-tárhelynek ritkán kell 10Gb-nál több tárhely, kivéve extrém eseteket.
- Gondolkodjunk el az esetleges vészmegoldásokról
- Mentsünk-e?
- Extrém eseteket kivéve, mindig akarunk mentést a szerverünkről. Bármikor történhet egy fatális baleset szerverünkkel, amelyre jó előre felkészülni. Murphy nem alszik...
- Mit mentünk?
- Mivel már a tervezési szakaszban tisztába tettük, hogy végsősoron mire is fog szolgálni a késztermék, mostanra már tudjuk, hogy milyen értékes adatok keletkeznek a működés során. Például egy adatbázis rekordjai, ha a szerverünk egy e-kereskedelmi portál, elég értékesek ahhoz hogy rendszeresen mentsük őket.
- Ezt iktassuk a TODO listánkba, hogy később nehogy kifelejtsünk valamit hajnal kettőkor a munka végezete felé!
- Hova mentünk?
- Itt is elsősorban a mentett információ értékétől függ a válasz. Kevésbé biztonságos megoldás egy csatlakoztatható merevlemez hozzáadása szerverünkhöz, amelyet csak mentésre használunk. Ennél jobb megoldást jelent, ha valamilyen külső médiára archiválunk. Például DVD-re írjuk adatainkat. Archiválhatunk hálózaton keresztül is egy backup szerverre. Ezeknél költségesebb, de jóval biztonságosabb (és profibb) megoldás szalagos meghajtó (tape drive) alkalmazása. A szalagok igen hosszú ideig képesek tárolni archívjainkat és elég robusztusak is. Ehhez a módszerhez bevett gyakorlat hogy széfbe teszik a kazettákat, amely így természeti katasztrófák ellen is komoly védelmet nyújt. Ennek profi lebonyolítására több cég is létrejött. Ők teljes portfóliót kínálnak mentési megoldásaikkal. Érdemes lehet még biztosítást kötni adatainkra, melynek megkötéséhez jól jöhet, ha egy profi archiválócéggel van szerződésünk és kész mentési és biztonsági házirenddel vagyunk felszerelkezve.
- Milyen gyakran mentsünk?
- Az attól függ. Ha viszonylag gyorsan változnak az adataink, akkor minél sűrűbben. Például egy már említett e-kereskedelmi portálnál minimum naponta kell menteni, de 4 óránkét optimális. Viszont az operációs rendszert napi többször menteni felesleges, sőt praktikusabb heti mentést készíteni.
- Meghatározó lehet a mentés sebessége és mérete is ebben a kérdésben. Ezen általában a többlépcsős mentéssel próbálnak meg segíteni. Ennek során un. ellenőrzőpontokat iktatnak be a mentési láncba (például hetente 1x) amelynek során teljes mentést készítenek az adatokról. Minden más mentést inkrementálisan végeznek.
A telepítés
Külső hivatkozások
- Linux Security HOWTO Alapmű
- Mail Filtering: komplett emil szerver védelem (spam, vírus, ...)
