V celku je mi jasné, že firewall v produkci musí být. Firewall mám i na svém domácím počítači, takže to jsem to považoval za samozřejmost
No jasne, ale tady nejde o koncovy firewall. Hlavne to chce zamerit se na forward pravidla. To je u serveru nejdulezitejsi. A prave proto jsou lepsi iptables, protoze tam je forward samostatny chain. Urcite nezapomente zahazovat invalid packety! To je z hlediska bezpecnosti serveru zasadni a hodne lidi na to zapomina.
Uplne vyborna vychytavka je taky zavest dvojfaktorovou autentizaci a jeden z faktoru (idealne heslo) zverejnit a pak sledovat, kdo se tam prihlasi a toho zabanovat podle IP.
To jsem chtěl, a vysmáli jste se mi
[/quote]
O zverejneni jednoho faktoru zatim nepadlo slovo. To urcite udelejte! Ale nesmite nastavit heslo na 1234, to by bylo moc napadny.
Určitě jeden honeypot tam už je. Myslel jsem si, že ho třeba někdo objeví. Je tam něco jako možnost přidat si peníze na virtuální účet po čemž dotyčný dostane pěkného banánka
Jo, to je fajn, ale chce to fakt na urovni SQL. Banan je naprd, chce to trigger, kterej mu pak predhodi nejakou falesnou view. Ale se stejnym pristupovym heslem, jinak by mu vypadla session.
Šifrovaná partition ... no... je to trochu problém, protože server musí mít klíč. Někdo prostě musí mít klíč. A když útočník v serverovně sebere celý počítač, pak stačí, aby ho na bootoval a klíč nějakou analýzou signálů vytáhl.
Jasne. To se resi tak, ze se tam nekde skryte do toho chasis da neviditelne generator bileho sumu. Pak ty signaly nezanalyzuje i kdyby se na hlavu postavil. Pohledej tyhle vecicky na Deal Extream, neni to zas tak drahy.
Replikace je dobrá na zálohu,ale útoku nezabrání, nicméně souhlas.
No to se prave pak kombinuje s tim honeypotem - puvodni stroj nechas bezet, nechas utocnika rejdit nad puvodni databazi a on vubec netusi, ze site uz davno jede nekde uplne jinde z repliky. Akorat je tam teda ten problem s DMZ, no. Ale tak kdyz o tom vite, tak neco vymyslite. Mne se nejvic libi reseni takovy, ze se to cely postavi nad GFS2, cimzpadem vlastne ty dva stroje bezi nad jednim blokovym zarizenim, takze pak je daleko jednodussi udelat to odstrihnuti repliky od honeypotu, protoze je tam vlastne sdilenej filesystem.
Útočník může zjistit, kde má VPNka server a provést útok na něj, a když bude úspěšný, memusí to být na tom původním serveru ani znát.
To nee! Na to se prave pouzije to GFS - kdyz je vlastne jakoby virtualni spolecnej filesystem, tak se na nem da otevrit normalni unixovej socket a VPNka pak bezi pres nej. Takze zadnej otevrenej port tam pak neni.
525 Odpovědí
135882 Zhlédnutí