Das ist ein sch\u00f6ner neuer Linux-Server\u2026 es w\u00e4re wirklich schade, wenn ihm etwas zust\u00f6\u00dfe. Er mag zwar sofort funktionieren, aber bevor Sie ihn produktiv einsetzen, sollten Sie zehn Schritte durchf\u00fchren, um die Sicherheit Ihrer Konfiguration zu gew\u00e4hrleisten. Die Details dieser Schritte k\u00f6nnen je nach Distribution variieren, das Grundprinzip gilt jedoch f\u00fcr alle Linux-Distributionen. Indem Sie diese Schritte auf neuen Servern durchf\u00fchren, stellen Sie sicher, dass diese zumindest grundlegend vor den h\u00e4ufigsten Cyberangriffen gesch\u00fctzt sind.<\/p>\n
Als Erstes sollten Sie, sofern dies nicht bereits in Ihren Betriebssystemeinstellungen erfolgt ist, das Root-Passwort \u00e4ndern. Das sollte eigentlich selbstverst\u00e4ndlich sein, wird aber bei der typischen Serverkonfiguration \u00fcberraschenderweise oft \u00fcbersehen. Das Passwort sollte mindestens acht Zeichen lang sein und eine Mischung aus Gro\u00df- und Kleinbuchstaben, Zahlen und Sonderzeichen enthalten. Wenn Sie lokale Benutzerkonten verwenden, sollten Sie au\u00dferdem eine Passwortrichtlinie einrichten, die Anforderungen an G\u00fcltigkeitsdauer, Sperrfrist, Passwortverlauf und Komplexit\u00e4t festlegt. In den meisten F\u00e4llen empfiehlt es sich, den Root-Benutzer komplett zu deaktivieren und f\u00fcr Benutzer mit erh\u00f6hten Berechtigungen separate Benutzerkonten mit sudo-Zugriff zu erstellen.<\/p>\n
Eine der grundlegendsten Konfigurationen ist die Aktivierung der Netzwerkverbindung durch Zuweisung einer IP-Adresse und eines Hostnamens zum Server. F\u00fcr die meisten Server empfiehlt sich eine statische IP-Adresse, damit Clients die Ressource immer unter derselben Adresse erreichen k\u00f6nnen. Bei VLANs sollten Sie die Isolation des Serverbereichs und den optimalen Standort f\u00fcr den Server ber\u00fccksichtigen. Deaktivieren Sie IPv6, falls Sie es nicht verwenden. Konfigurieren Sie Hostname, Domain und DNS-Serverinformationen. F\u00fcr Redundanz sollten mindestens zwei DNS-Server eingesetzt werden. Testen Sie anschlie\u00dfend mit nslookup die Namensaufl\u00f6sung.<\/p>\n
Sie richten Ihren neuen Server wahrscheinlich f\u00fcr einen bestimmten Zweck ein. Installieren Sie daher alle ben\u00f6tigten Pakete, falls diese nicht bereits in Ihrer Distribution enthalten sind. Dies k\u00f6nnen beispielsweise Hilfsprogramme wie PHP, MongoDB oder nginx sein, oder Supportpakete wie pear. Entfernen Sie au\u00dferdem alle unn\u00f6tig installierten Pakete, um den Speicherbedarf des Servers zu minimieren. Nutzen Sie hierf\u00fcr am besten die Paketverwaltung Ihrer Distribution, beispielsweise Yum oder apt, um die Verwaltung sp\u00e4ter zu vereinfachen.<\/p>\n
Sobald die ben\u00f6tigten Pakete auf Ihrem Server installiert sind, m\u00fcssen Sie sicherstellen, dass alles auf dem neuesten Stand ist. Dies betrifft nicht nur die installierten Pakete, sondern auch den Kernel und die Standardpakete. Sofern Sie keine bestimmte Version ben\u00f6tigen, sollten Sie aus Sicherheitsgr\u00fcnden immer die aktuellste Produktionsversion verwenden. Ihr Paketverwaltungsprogramm stellt Ihnen in der Regel die neueste unterst\u00fctzte Version zur Verf\u00fcgung. Richten Sie au\u00dferdem automatische Updates in Ihrem Paketverwaltungsprogramm ein, falls dies f\u00fcr die auf diesem Server gehosteten Dienste erforderlich ist.<\/p>\n
Konfigurieren Sie Ihren Server so, dass er seine Zeit mit NTP-Servern synchronisiert. Dies ist m\u00f6glich, wenn Ihre Umgebung \u00fcber interne NTP-Server oder externe, \u00f6ffentlich zug\u00e4ngliche Zeitserver verf\u00fcgt. Wichtig ist, eine Zeitabweichung zu vermeiden, bei der die Serveruhr von der Echtzeit abweicht. Dies kann zahlreiche Probleme verursachen, insbesondere Authentifizierungsprobleme, da die Zeitabweichung zwischen Server und Authentifizierungsinfrastruktur vor der Zugriffsgew\u00e4hrung gemessen wird. Dies sollte eigentlich ein einfacher Trick sein, doch eine zuverl\u00e4ssige Infrastruktur ist unerl\u00e4sslich.<\/p>\n
Je nach Distribution k\u00f6nnen die Porttabellen vollst\u00e4ndig gesperrt sein und Sie auffordern, die ben\u00f6tigten Ports manuell zu \u00f6ffnen. Unabh\u00e4ngig von der Standardkonfiguration sollten Sie diese jedoch immer \u00fcberpr\u00fcfen und sicherstellen, dass sie Ihren W\u00fcnschen entspricht. Beachten Sie stets das Prinzip der minimalen Berechtigungen und \u00f6ffnen Sie nur die Ports, die f\u00fcr die Dienste auf diesem Server erforderlich sind. Befindet sich Ihr Server hinter einer dedizierten Firewall, blockieren Sie dort alle Verbindungen au\u00dfer den ben\u00f6tigten. Selbst wenn Ihre iptables\/Firewall standardm\u00e4\u00dfig restriktiv ist, vergessen Sie nicht, die f\u00fcr den Betrieb Ihres Servers notwendigen Ports zu \u00f6ffnen!<\/p>\n
SSH ist die prim\u00e4re Methode f\u00fcr den Fernzugriff auf Linux-Distributionen und muss daher angemessen gesichert werden. Sie sollten die SSH-Zugriffsrechte des Root-Benutzers deaktivieren, selbst wenn Sie das Konto deaktiviert haben. So wird verhindert, dass der Server aus irgendeinem Grund weiterhin \u00fcber SSH angegriffen werden kann. Sie k\u00f6nnen SSH auch auf bestimmte IP-Bereiche beschr\u00e4nken, wenn Sie eine feste Anzahl von Client-IPs verwenden. Optional k\u00f6nnen Sie den Standard-SSH-Port \u00e4ndern, um ihn zu verschleiern. Allerdings l\u00e4sst sich der neue offene Port durch einen einfachen Scan ermitteln. Schlie\u00dflich k\u00f6nnen Sie die Passwortauthentifizierung komplett deaktivieren und stattdessen eine zertifikatbasierte Authentifizierung verwenden, um das Risiko eines SSH-Angriffs weiter zu minimieren.<\/p>\n
Sie haben Ihre Pakete bereinigt, aber es ist auch wichtig, die richtigen Programme so einzustellen, dass sie beim Neustart automatisch starten. Schlie\u00dfen Sie alle nicht ben\u00f6tigten Daemons. Ein Schl\u00fcsselfaktor f\u00fcr einen sicheren Server ist die Minimierung des Ressourcenverbrauchs, sodass nur die von den Anwendungen ben\u00f6tigten Angriffsfl\u00e4chen zur Verf\u00fcgung stehen. Anschlie\u00dfend sollten die verbleibenden Dienste bestm\u00f6glich abgesichert werden, um Ausfallsicherheit zu gew\u00e4hrleisten.<\/p>\n
Wenn Sie schon einmal eine Red Hat-Distribution verwendet haben, kennen Sie vielleicht SELinux, ein Kernel-H\u00e4rtungstool, das das System vor verschiedenen Angriffen sch\u00fctzt. SELinux sch\u00fctzt hervorragend vor unberechtigter Nutzung und unberechtigtem Zugriff auf Systemressourcen. Es kann aber auch Anwendungen beeintr\u00e4chtigen. Testen Sie daher Ihre Konfiguration unbedingt mit aktiviertem SELinux und \u00fcberpr\u00fcfen Sie die Protokolle, um sicherzustellen, dass keine legitimen Anwendungen blockiert werden. Dar\u00fcber hinaus sollten Sie sich \u00fcber die H\u00e4rtung von Anwendungen wie MySQL oder Apache informieren, da jede ihre eigenen Best Practices hat.<\/p>\n
Abschlie\u00dfend sollten Sie sicherstellen, dass die gew\u00fcnschte Protokollierungsstufe aktiviert ist und ausreichend Ressourcen daf\u00fcr vorhanden sind. Da Sie diesen Server ohnehin fr\u00fcher oder sp\u00e4ter debuggen m\u00fcssen, empfiehlt es sich, jetzt schon die ben\u00f6tigte Protokollierungsstruktur einzurichten, um Probleme schnell beheben zu k\u00f6nnen. Die meisten Softwareprogramme bieten konfigurierbare Protokolle. Sie m\u00fcssen jedoch etwas experimentieren, um das richtige Ma\u00df an Informationen zu finden. Es gibt zahlreiche Drittanbieter-Tools f\u00fcr die Protokollierung, die von der Aggregation bis zur Visualisierung alles abdecken. Zun\u00e4chst sollten Sie jedoch die spezifischen Anforderungen jeder Umgebung analysieren. Anschlie\u00dfend k\u00f6nnen Sie die passenden Tools ausw\u00e4hlen.<\/p>\n
Jeder dieser Schritte kann, insbesondere beim ersten Mal, einige Zeit in Anspruch nehmen. Durch die Einrichtung einer initialen Serverkonfigurationsroutine stellen Sie jedoch sicher, dass neue Maschinen in Ihrer Umgebung ausfallsicher sind. Das Vers\u00e4umnis, einen dieser Schritte durchzuf\u00fchren, kann schwerwiegende Folgen haben, falls Ihr Server jemals Ziel eines Angriffs wird. Die Einhaltung dieser Schritte bietet zwar keine absolute Sicherheit \u2013 Datenlecks kommen vor \u2013, erschwert es Angreifern aber erheblich, die Sicherheitsl\u00fccken zu \u00fcberwinden, und erfordert ein gewisses Ma\u00df an Fachwissen.<\/p>","protected":false},"excerpt":{"rendered":"Einleitung Das ist ein sch\u00f6ner neuer Linux-Server, den Sie da haben... es w\u00e4re schade, wenn etwas passieren w\u00fcrde...","protected":false},"author":1,"featured_media":16249,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"10 \u0645\u0631\u062d\u0644\u0647 \u0636\u0631\u0648\u0631\u06cc \u0628\u0631\u0627\u06cc Config \u06cc\u06a9 \u0633\u0631\u0648\u0631 \u062c\u062f\u06cc\u062f","_yoast_wpseo_title":"","_yoast_wpseo_metadesc":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_focuskeywords":"","_yoast_wpseo_primary_category":"193","footnotes":""},"categories":[193,204],"tags":[449,279],"class_list":{"0":"post-16248","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-tutorials","8":"category-servers","9":"tag-configuration","10":"tag-server"},"yoast_head":"\n