Mirip dengan pertanyaan tentang Stack Overflow ini, apa yang seharusnya diketahui oleh sysadmin yang terbiasa dengan situasi intranet tipe pribadi sebelum menjadi administrator situs publik?
Ini bisa berupa hal-hal terkait keamanan seperti "jangan biarkan dibiarkan telnetterbuka," atau hal-hal praktis seperti bagaimana melakukan load-balancing untuk situs dengan lalu lintas tinggi.
Jawaban:
Setiap aplikasi, setiap biner, setiap paket yang ada di server adalah suatu kewajiban. Berlangganan prinsip 'paling sedikit'; jika tidak diinstal, itu tidak dapat dikompromikan.
Terapkan deteksi intrusi, seperti Tripwire atau sejenisnya, dan pindai sesering mungkin.
Investasikan pada firewall perangkat keras dan hanya buka port yang Anda butuhkan untuk aplikasi Anda. Jangan izinkan port administrasi Anda (ssh, rdp dll) terlihat publik; batasi untuk alamat IP manajemen yang disetujui.
Memiliki cadangan konfigurasi firewall / switch / router Anda pada saat masuk ke produksi. Jika salah satu dari perangkat itu dikompromikan, itu jauh lebih cepat untuk pulih dari dengan menyeka otak perangkat dan memuat ulang konfigurasi daripada melakukan audit baris demi baris dari konfigurasi ketika jam berdetak.
nmap lingkungan Anda dari luar sesering mungkin untuk memastikan tidak ada port baru yang dibuka.
Jangan pernah mempercayai internet; pastikan apa pun yang Anda sajikan ke internet aman seperti apa adanya (lakukan validasi input sisi server dan sanitasi untuk menghentikan serangan injeksi SQL, misalnya).
Tetap di atas tambalan Anda.
Jika Anda dikompromikan, bangun kembali dari awal dengan media yang baru diunduh. Anda tidak dapat lagi percaya bahwa cadangan Anda aman dan belum juga dikompromikan (meskipun tripwire dapat membantu dengan ini) untuk apa pun selain data yang lembam dan tidak dapat dieksekusi.
Salah satu alat yang saya temukan berguna untuk pengerasan jaringan adalah nessus
Pada dasarnya, Anda mengaturnya di server eksternal, dan mencoba untuk menyerang jaringan Anda dengan seluruh eksploitasi yang diketahui. Anda dapat mengaturnya untuk mode aman (di mana tidak ada serangan yang dapat merusak server Anda), atau jika Anda cukup yakin Anda telah menambal semuanya, atau mampu me-reboot server Anda jika perlu, untuk mode tidak aman .
Kemudian akan memberikan laporan bergradasi yang sangat lengkap untuk setiap mesin yang dapat dilihat dari kerentanan / kelemahan yang ditemukannya, dan nilai tingkat keparahannya - dan bahkan merekomendasikan tindakan yang harus diambil untuk mengatasi masalah tersebut.
Mereka harus tahu bagaimana sistem cadangan dan pemulihan bencana berfungsi dan bagaimana mereka akan memulihkan sistem ketika / jika itu dikompromikan.
Ini agak pelawan, tetapi dari sisi keamanan saya tidak membedakan antara server internal dan server eksternal. Cepat atau lambat seseorang akan membuat kesalahan di firewall, manajemen akan bersikeras server terkena karena klien penting, Betty dalam akuntansi entah bagaimana akan mendapatkan klien VPN di mesin rumahnya yang terinfeksi, dll.
Yang mengatakan, layer adalah teman Anda, dan Anda harus daftar hitam secara default.
Layers - Anda harus memiliki beberapa lapisan keamanan. Misalnya, firewall perangkat keras dan firewall perangkat lunak. Secara teoritis ini melayani tujuan yang sama, tetapi memiliki beberapa lapisan melindungi terhadap kesalahan dan mengurangi konsekuensi dari satu lapisan yang dieksploitasi.
Aspek lain dari layering adalah "homeycombing", yang pada dasarnya adalah beberapa DMZ. Pada titik tertentu Anda harus memiliki tingkat kepercayaan antara mesin Anda dan orang-orang yang mengakses akun Anda. Jika Anda dapat mempersempit titik-titik interaksi itu, Anda dapat dengan ketat mengontrol jenis lalu lintas yang Anda percayai di titik mana pun. Misalnya, jika Anda memisahkan server antarmuka / aplikasi Anda dari server basis data, Anda mempersempit tingkat kepercayaan. Jika server aplikasi Anda dikompromikan, para penyerang itu mendapatkan pijakan minimal untuk infrastruktur Anda (yaitu, untuk melanjutkan serangan mereka dan mencoba mengeksploitasi server Anda yang lain, mereka hanya memiliki titik kepercayaan yang sudah ada untuk digunakan).
Mengenai daftar hitam secara default, Anda pada dasarnya harus mematikan semuanya dan menuntut (bahkan jika itu hanya Anda sendiri) pembenaran untuk setiap port yang Anda buka, nama pengguna yang Anda izinkan akses, aplikasi yang Anda instal, dll.
Pada sistem dengan antarmuka publik APAPUN, pastikan pengguna Anda memiliki kata sandi aman dengan menerapkan kebijakan kata sandi aman , dan dengan menguji file kata sandi dengan utilitas peretas kata sandi seperti john the ripper
Anda lebih lanjut dapat melindungi diri dari serangan tebak kata sandi dengan memblokir alamat IP setelah beberapa upaya gagal. Alat yang bagus untuk ini (di linux) adalah fail2ban
Switch Anda dapat diretas dan seseorang dapat merusak data. Jika Anda tidak memiliki sakelar, siapkan vpn, karena pembatasan akses firewall per-ip mungkin tidak cukup.
Jangan biarkan port apa pun terbuka kecuali yang Anda ingin akses pengguna dan peretas. Pindai server Anda sendiri dari situs lain setiap bulan.
Jangan biarkan port default ssh terbuka untuk peretas.