Linux webverss e segurança essencial (e além do essencial)

Question

Estou aprendendo Java, PHP, HTML, xml, ajax e outras coisas relacionadas à web e ao Linux.

Uma vez a cada vez eu encontro alguém me dando avisos enigmáticos e assustadores sobre segurança, digamos: "... se conectado à Internet não instale o php se você não sabe o que está fazendo ..."

Até agora não posso afirmar que sei o que estou fazendo.

Então ... o que devo estudar para obter uma compreensão suficientemente profunda e prática sobre como desenvolver um servidor formalmente seguro e / ou sistema Linux exposto à Internet?

(Eu digo "formalmente seguro" porque entendo que, em última análise, qualquer sistema tem vulnerabilidades de segurança.)

Existe uma bíblia como livro? ou uma lista de tópicos recomendados?

Quais são as considerações mais importantes?

Qual técnica ou método (se houver) é o melhor para testar a segurança de um servidor?

Obrigado

    

Answer 1

Se você verificar esta questão em IT Security Stack Exchange as respostas lá devem lhe dar uma idéia. A melhor solução é que nenhuma experiência - crie sistemas, construa redes (em VMs se você não tiver a infraestrutura necessária) e execute ferramentas e métodos de ataque de segurança contra elas. Se alguém menciona vulnerabilidades php, construa um servidor de teste executando php e use algumas explorações publicadas contra ele para observar o que acontece.

Se você precisar de uma ferramenta para provar como tudo isso é fácil para os não qualificados, o Metasploit é seu amigo.

    

Answer 2

Acho que você pode estar pedindo Nessus . Este é um bom começo para auditorias rápidas, mas eu não confiaria nele como sua única solução, obviamente.

    

Answer 3

Dê uma olhada no snort

Eu acho que você pode ser bastante eficaz com qualquer abordagem proativa (honey pot > throttle / ban). Ainda estamos no estágio em que a maioria dos invasores não espera que você tenha segurança pró-ativa em sites de propósito geral.

Por outro lado, se você tem algo valioso ou espera ataques mais strongs (mais sofisticados), então orça para a defesa (políticas, auditorias, consultores, cargo de oficial de segurança de TI, etc.).

    

Answer 4

Os fundamentos, sejam Linux ou outros, são segurança de rede, host e aplicativos.

Com relação à Rede, você deseja garantir que tenha regras de firewall adequadas. Ou seja, você não está expondo portas desnecessárias. Tenha uma VLAN privada no Hosting Provider, etc. Use ferramentas como o nmap para testar se as portas estão realmente fechadas / filtradas.

No que diz respeito ao Host, você quer garantir que você siga as erratas de segurança do SO que está sendo executado e corrige o quanto antes possível.

Com relação à segurança do aplicativo, você quer garantir que você endureça os Serviços (por exemplo, Apache, MySQL) fazendo coisas como não divulgar informações (ServerSignature Off, ServerTokens Prod para Apache, expose_php = Off no php.ini) e usando menos - Concessões privilegiadas (sem GRANT ALL PRIVILEGES no MySQL. Execute um Web Vuln Scanner como o nikto no seu próprio aplicativo.

Use também senhas aleatórias - use um Gerenciador de Senhas como o Password Gorilla ou outro.

Há, claro, muito mais para aprender, mas até mesmo essas pequenas coisas ajudam e isso pode ser o suficiente para impedir uma indesejável (claro que isso depende do que seu aplicativo é e de como ele está motivado).

Felicidades