[SEC] Hoe beveilig jij jouw server?

[Gomez12]

shadowman12 schreef op dinsdag 29 december 2009 @ 18:28:
Daarnaast staan er voor de DMZ 300 firewalls, die allemaal checken of de poort gebruik mag worden en of het verkeer de goede source heeft.

Tja, wat moet je nou van zo'n verhaal maken, 300 firewalls voor de dmz, als je die voor je gebruikers zou zetten zou je alsnog 1 firewall per 40 gebruikers hebben.

Sowieso lijkt me meer dan 3 echte/unieke Firewalls voor een dmz me al absolute overkill. Heb je er meer dan zijn ze of allemaal hetzelfde en via dezelfde scripting aangestuurd of het zijn gewoon geen firewalls meer.
300 of 30 of 3 of 1 firewalls maakt geen enkel verschil als ze allemaal hetzelfde patchlevel en dezelfde ruleset hebben, je komt door de 1e firewall en omdat de andere 299 dezelfde fout hebben ben je daar ook in .1 seconde doorheen.

Policy is ook voor alles wat niet standaard een toestemming moet zijn, en software die niet is toegestaan wordt op servers .Wordt er afgehaald, uiterraard na onderzoek of het gebruikt wordt.

* Gomez12 krijgt dan altijd spontaan de behoefte om zijn word-documentjes een .exe extensie mee te geven.

Ik kan niet meer verklappen daarom is dit verhaal ook best wel algemeen. Ik moet erg oppassen wat ik wel en niet vertel over hoe de security bij ons werkt.

Yep, security through obscurity werkt stukken beter dan vroeger,..

[Olaf van der Spek]

CyBeR schreef op maandag 28 december 2009 @ 14:41:
Ja. Want dan duurt 't voor root dus 100 miljard jaar, want root ken je. En voor 'pietjevanderzult' komt er een paar miljard jaar bij.

Ik begrijp dat usernames makkelijker te 'vinden' zijn, maar je moet voor elke mogelijke username ook alle mogelijke wachtwoorden bruteforcen. Het voegt iets toe, en dat is goed. Ik zeg niet dat je daarmee alle bruteforcers direct laat stoppen, ik zeg dat 't iets toevoegt. Net zoals elke bit extra keylengte in een crypto key het twee keer zo moeilijk maakt.

Waarom gebruik je dan niet gewoon een langer wachtwoord? Plak de 'geheime' gebruikersnaam achter je wachtwoord en je bent er toch ook?

Zelf gebruik ik Debian met de standaard config.

[ Voor 3% gewijzigd door Olaf van der Spek op 30-12-2009 14:06 ]

[HarmoniousVibe]

Vrij standaard. Mijn NAS server zit achter een router met SPI en ik heb een relatief eenvoudig iptables scriptje draaien. Verder draai ik bepaalde daemons op niet-standaard poorten en is bijna alle verkeer versleuteld (behalve over het LAN dan). Eveneens draai ik DenyHosts als maatregel tegen SSH bruteforce attacks.

edit: whoops, ik meende dat dit topic in NOS stond. Ik draai Ubuntu Karmic

[ Voor 10% gewijzigd door HarmoniousVibe op 01-01-2010 21:51 ]