CentOS Server Security - PullRequest
Новая
       3

CentOS Server Security

1 голос
/ 28 июня 2011

Я учился настраивать серверы для использования в своих веб-приложениях и обнаружил, что моя любимая (самая быстрая и простая в использовании) установка - это CentOS5.5 / Lighttpd / fastcgi и SQL. Однако я не знаю, насколько они безопасны из коробки - я установил их с помощью Yum и изменил некоторые настройки, чтобы заставить PHP играть в мяч - есть ли что-то, что я должен сделать, чтобы повысить свои уровни безопасности, предотвратить подделку мои сценарии?

На сервере вообще не установлен FTP, никаких дополнительных пользователей из root, mail или чего-либо еще, и все каталоги принадлежат lighttpd: lighttpd, а не CHMOD для любого использования в мире. Большой мир никогда не будет использовать приложения, которые я пишу, они предназначены для личного пользования и для моих сотрудников / партнеров, чтобы отслеживать деньги и клиентов (отсюда мое желание, чтобы они были в безопасности).

Спасибо, ребята!

1 Ответ

2 голосов
/ 28 июня 2011

Если вы говорите о серверах (множественное число), и у вас есть бюджет / возможности, я бы рекомендовал вам иметь только те серверы, которые обращены к клиенту и обслуживают только статический контент.Переместите ваш PHP и SQL обратно только во внутренний.

  1. Веб-сервер с 80/443 открытым для мира и SSH-портом, открытым только для доверенных IP-адресов или прослушиванием только через внутренний интерфейс, к которому вы можете получить доступ
  2. Сервер приложений с прослушиванием порта 80только для запросов от интерфейсного веб-сервера через частный IP-адрес (если это возможно).В противном случае, ограничьте его доступ к общедоступным IP-адресам интерфейсных веб-серверов и рассмотрите возможность обмена HTTPS (443) между ними.
  3. Ваш экземпляр / сервер SQL должен иметь ту же концепцию, доступную только с сервера приложений..

Это позволяет вам иметь несколько уровней безопасности и выделенных ресурсов для обработки определенных задач (веб-серверное обслуживание FE / обслуживание приложений промежуточного программного обеспечения / службы данных Backend)

Кроме того, если ваш FEскомпрометировано, они не будут иметь немедленного доступа к вашему источнику PHP и содержимому базы данных.

Если это один сервер, убедитесь, что только 80/443 открыты для мира, и убедитесь, что у вас есть брандмауэр или концепции брандмауэра для ограничения / запрета доступа ко всем другим портам, кроме как из доверенных источников,Рассмотрите возможность перемещения SSH с порта 22 (по умолчанию) на альтернативный порт ...

...