Serverumzug

ja super das alles gekappt hat

Warum kein Debian?

Zitat

Woher weißt du, dass ich kein Debian verwende?

Ubuntu ist mir von den Paketen zu fett und Debian stabiler.

Ich wollte mir schon länger mal Nginx anschauen, soll laut Flurfunk besser als Apache2 sein.

Den SSH Port würde ich noch auf irgendwas anderes als 22 ändern, nur so als Tip, dann hören auch die zahllosen Loginversuche auf, die du vermutlich im Log finden wirst. Ich hatte zu Hochzeiten 20k Loginversuche in einer Stunde.

/etc/ssh/sshd_config:

PermitRootLogin steht hoffentlich auf no?

Falls nicht: Lege vorher einen anderen Benutzer an und teste, ob du mit dem per SSH connecten kannst, bevor du dich selbst aussperrst.

Wenn du möchtest kann ich dir sagen, wie du den Server so absicherst, dass niemand damit was anfangen kann, selbst wenn er das Passwort weiss.

Dann aber per PN.

Zitat

Welche zahllosen Loginversuche?

Den SSH Port zu ändern halte ich nicht für sinnvoll, nur im ein Log sauber zu halten.

Es geht nicht um das Log, sondern darum den 1. Schritt zum Login zu erschweren.

Ein Rechner im inet wird über kurz oder lang versucht zu kompromittieren, wenns nicht um gezielte Datenabgriffe geht, dann meistens um Rechenleistung zu nutzen oder die eigene Identität zu verschleiern (BitCoins farmen, DDoS, Spambots z.B.).

Bei einem Befall fällt alles was von der Mühle ausgeht erstmal auf einen selbst zurück, deshalb sollte man da alle Register ziehen.

Als ich meine Kiste 2011 installiert habe, dauerte es keine Woche, bis ich mehrere zig tausend Loginversuche / h zu verzeichnen hatte. Nicht den ganzen Tag lang, gab kein Muster.

In der Zeit war ich noch am einrichten, hab dann den Punkt mit dem Port vorweg genommen. Da war erstmal Ruhe. Klar, mit Portscan rauszufinden, aber warum sollte sich ein Script soviel Rechenaufwand machen? In der Zeit wo das läuft sind 1000e andere Kisten auf 22 gecheckt.

Was auch ganz praktisch ist, wenn man die ICMP Requests dropped, bzw. nicht beantwortet >>> funktioniert aber nur bei Rechnern, die ausschliesslich über IP erreichbar sind, ansonsten werden die erst richtig interessant.

Das Problem sind die Passwörter, selbst ausreichend lang und kryptisch theoretisch trotzdem überwindbar.

Ich hab das so gelöst, dass man nach dem Login eine Kaskade von "Aktionen" durchführen muss, bleiben die aus, wird die SSH-Session geschlossen.

Es ist unmöglich herauszufinden, was das ist >>> die history ist deaktiviert, das Script kann man nicht beenden und auch nicht einsehen (mit TAB Autovervollständigung), dazu reicht die Zeit nicht, vor allem weil nach jeder erfolgreich genommenen Hürde die Zeit wieder von vorne beginnt. Selbst wenn es eingesehen werden kann ist der relevante Part in ~ 10k Zeilen irrelevanten Part versteckt. Scripte können auch nicht gestartet werden, der Loginbenutzer darf nur das, was er können soll.

Im Hintergrund zähle ich noch die Anzahl der gewaltsam beendeten SSH-Session's vor der vorletzten Aktion (was bis jetzt noch nie vorgekommen ist), wäre diese bei n gibts ein wunderschönes init 0 als letzten Rettungsanker.

Dann würde ich nämlich wissen, dass sich jemand einloggen konnte und x Kaskaden überwinden konnte.

Die Kaskaden darf man natürlich nie vergessen, sonst hat man selbst die A-Karte gezogen xD.

Die Tipperei nach dem Login ist manchmal etwas nervig, aber das ist es mir wert.

Btw. ist übrigens alles dicht bis auf Port 80 und SSH. Datenaustausch über FTP?