Não é aconselhável publicar a configuração do meu servidor?

Question

Eu tenho um pequeno VPS rodando o Ubuntu que (no futuro previsível) só hospedará meu próprio site, estático. Os únicos serviços acessíveis a partir do exterior serão o SSH (somente autenticação de chave pública permitida) e HTTP (provavelmente nginx).

Estou gerenciando a configuração do servidor via Puppet e gostaria de compartilhar essa configuração via GitHub como um exemplo para qualquer pessoa interessada. A configuração do Puppet não contém senhas ou informações confidenciais semelhantes. No entanto, inclui, por exemplo, a configuração do firewall (que é bastante básica), o nome de usuário de um usuário que pode usar o sudo, quais pacotes estão instalados, etc.

Eu sei que quanto menos um potencial intruso souber sobre o sistema, melhor. Mas, realisticamente, com quanta dificuldade eu me colocaria publicando a configuração?

    

Answer 1

As configurações de publicação podem ajudar um pouco o invasor - reduzindo o tempo que normalmente gastariam na digitalização / coleta de informações, mas se você for um alvo, ele estará realizando essas tarefas de qualquer maneira. Ter nomes de diretórios ou servidores que indicam sua função também acelera o ataque (por exemplo, FinanceServer01), portanto, é melhor ter uma convenção de nomenclatura que não forneça informações gratuitas como essa.

Realisticamente, se facilitar a sua vida de publicar a configuração, faça isso, mas remova informações desnecessárias (senhas, certificados, chaves, nomes de host) - concentre seus esforços de segurança em garantir que seus patches estejam atualizados, sua configuração protegida você contra ataques, e você monitora seus dados mais sensíveis (se apropriado) para intrusão.

    

Answer 2

Eu não acho que exista muita exposição.

Apenas certifique-se de que sua configuração esteja desinfetada e livre de senhas ou outras informações de identificação do sistema (endereços IP, nomes de host, etc.)