drupal.be server beheer

Het beheren van de server waar drupal.be op draait zal ook door de community moeten gebeuren. Ik zal mij hier wat mee gaan bezighouden (met nog andere mensen).

Het eerste wat zou moeten gebeuren is deze wat goed configureren zodat we hopelijk door de hackers wat met rust gelaten worden. Hieronder een lijst van wat ik zou willen doen:

1. ssh op andere poort laten draaien: De meeste scripten zoeken rechstreeks op poort 22 voor ssh toegang en beginnen dan te attacken. Dit is eenvoudig te omzeilen door ssh op een andere poort te zetten. Deze stap zorgt voor tenminste 90% minder login attempts (ik zou het eens moeten nakijken).

2. server in "stealth" mode zetten: Veel servers antwoorden op ping of weigeren een tcp connectie als deze binnenkomt op een poort waar geen service achter draait. Maar als iemand ziet dat een connectie wordt geweigerd weet die dat er een machine is die dat geweigerd heeft en je server is ontdekt! Een port scan op een server die paketten weigert is ook een stuk sneller dan op één die ze gewoon negeert. Ik stel voor van de volgende iptables regels toe te voegen zodat de server alles negeert:


# Generated by iptables-save v1.3.6 on Mon Feb 16 10:12:58 2009
*filter
:INPUT DROP [6501:813133]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [45349:6168540]
# Accept incoming http connections.
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
# Accept incoming ssh connections (ssh listens on 1234).
-A INPUT -p tcp -m tcp --dport 1234 -j ACCEPT
# Accept incoming packets on established connections.
-A INPUT -m state --state ESTABLISHED -j ACCEPT
COMMIT
# Completed on Mon Feb 16 10:12:58 2009


3. server up-to-date houden: Als iemand een Nagios install heeft kunnen we deze server eraan toe voegen. Via een tcp request kan je zien of de up is en via nrpe kunnen we check_apt activeren zodat de nagios installatie kan zien of er critical updates zijn. Wie heeft er een Nagios installatie beschikbaar waar deze server aan kan toegevoegd worden en die mij automatisch een mail kan sturen als er updates zijn?

4. Andere zaken zoals fail2ban, tripwire vind ik persoonlijk minder belangrijk maar ik hoor graag jullie suggesties.

5. Debian Lenny is ook net uitgekomen maar ik stel voor van tenminste nog enkele maanden op etch te blijven. Security updates voor etch zijn er nog tot 15 februari 2010.