angriffe auf server

[jutta]

da es hier immer wieder vorkommt, dass leute sich auf den schlips getreten fuehlen, wenn man sie auf die gefahren eines server-betriebs hinweist, zwei links zu aktuellen faellen. das eine ist eine diskussion in der debian-security mailingliste, wohin ein admin sich gewandt hat, weil 15 seiner server offenbar gehackt wurden. enthaellt eine fuelle von tipps zur absicherung (vor allem von sshd, da der angriff anscheinend so erfolgt ist - untersuchung dauert noch an)
http://lists.debian.org/debian-security ... html#00091

das zweite war ein angriff auf den sshd eines webservers http://etbe.coker.com.au/2011/12/31/server-cracked/ es wird vermutet, dass er von einem kompromittierten client eines users ausgegangen ist. (man muss also nicht nur den eigenen server absichern, sondern auch allen berechtigten usern auf die finger schauen)

[Felis]

Ich bin zwar kein Experte, aber einige Vorsichtsmassnahmen sollen schon enorm schuetzen. Keinen Root-Access erlauben, gscheites Passwort verwenden oder nur Zugang per Key und nicht den Standardport fuer SSH verwenden. So ist selbst der "Spielzeugserver" auf meinem Samsung Nexus konfiguriert (Debian als Chroot-Umgebung)

[lordpeng]

@Felis
erklär das mal den kritikresistenten leuten hier im forum, die mit 0 ahnung produktivserver ins netz stellen wollen ...

[jutta]

grundproblem ist, dass man einen server zwar in wenigen minuten zum laufen bringen kann (egal ob mit apt-get install, yast, yum oder doppelklick und ein paarmal "weiter" klicken), aber dass man laengere anleitungen lesen und verdauen muss, um ihn abzusichern. und dann auch noch entscheidungen treffen muss, wenn man einander widersprechende empfehlungen findet, wenn man auf durchschnittlich begabte anwender_innen ruecksicht nehmen muss oder wenn bestimmte anwendungen bei restriktiven sicherheitseinstellungen nicht funktionieren (gallery faellt mir dazu spontan ein).

ssh-port aendern ist zb unproblematisch, wenn nur der admin/eigentuemer des geraets drauf zugreifen muss oder einige wenige techniker_innen. wenn es sich um einen shellzugang fuer hunderte oder tausende user (uni-server, massenhosting) handelt, wuerde ich mir ueberlegen, wieviel zusaetzlichen supportaufwand ich mir damit einhandle.

ich hab btw selbst den letzten abend im alten jahr damit verbracht, auf einem uralten rechner die letzten reste eines rootkits zu entfernen. da der angriff(?) offenbar am 1. jaenner 2007 erfolgt ist und von mir erst spaeter entdeckt wurde, war platt machen und backup reinspielen keine option. ich hab daher damals beim entdecken nach diversen anleitungen die meisten verdaechtigen files beseitigt und bin an ein paar gescheitert. (konnte sie auch als root nicht loeschen). beim gruendlichen putzen habe ich nun also einiges ueber extended dateirechte gelernt und darueber, was man mit diversen schaltern von "find" suchen kann und was nicht. es war also zumindest vom lerneffekt her sinnvoll, wenn ich mir das alles auch noch merke.