To je uplne jedno, je to totez jako kdyz pred bepecnostni dvere das jeste dalsi dvere a pred ne jeste dalsi ... a zlodej prijde oknem.
+1
Pokud bych ciste teoreticky byl opravdu paranoidni, pak asi nejak takhle. SSH vystaveno pouze na VPN, IPTABLE umozni pripojit na SSH pouze predem znamym statickym IP klientu. SSH akceptuje pouze pripojeni pres klic. Kazdy klient ma vlastni klic s omezenou dobou platnosti. (Idealne nekoncici vsem naraz). FAIL2BAN nebo jinej log parser upozorni administratora mailem/smskou pokud pokusy o prihlaseni prekroci threshold. Optional: port knocking, zmena SSH portu.
Utocnik v tomhle pripade (pokud neprojde oknem) musi byt schopen proniknout do VPN jako "admin" klient nebo premluvit VPN server o prideleni povolene IP adresy, pripadne se pred serverem tvarit ze ji ma i kdyz nema (MITM pres VPN). Ziskat klic k ssh, a optional vedet spravny port a sequence (coz dokaze ziskat pokud se mu podari proves MITM na VPN). Nebo ziskat user access na klientsky PC/Mobil (vsechna tahle prace prichazi v nivec instalaci prvniho cracku)
No a pak prichazi na radu zabezpeceni oken (aplikace bezici v kontejnerech)
Udivují mě tady rady od lidí, kteří snad o zabezpečení čtou jen na rootu.J to řiká správně.
SSH klíč nemůže mít nastavenou dobu platnosti, musel bych ho někým podepsat a ssh server nastavit tak, aby akceptoval pouze validní podepsané klíče. Port knocking, změna SSH portu jsou nesystémové změny, které nemají reálný význam.
Kontejner (Linux containers aka LXC aka docker) není vůbec určený k zabezpečení, má spousty míst kudy může útočník uniknout.
Sice jsi super paranoidní, máš vpn s adminem, ale pak tam necháš apache pod rootem či jinou zranitelnou službu a jsi v loji. Zabezpečení serveru musí být komplexní, musí se řešit veškeré služby, musí se řešit jejich pravidelná aktualizace (co bylo neproniknutelné dnes, je děravé zítra), logy se samozřejmě musí zpracovávat.
Fail2ban je nesmysl, snadno se dá zahltit a poslat server do kolen, při jeho restartu se pak může najít slabina u nějaké služby (velká část služeb startuje pod rootem a teprve posléze snižuje svoje práva) či prostě stačí jen omezit dostupnost serveru a vyprovokovat admina k unáhleným krokům a otevření vrat. FW pravidla musí být před samotným serverem, jejich automatické bezhlavé vyplňování do lokálního iptables je cesta do pekel, s ipv6 ta cesta má ještě zkratku.
22 Odpovědí
4748 Zhlédnutí