Standaard beveiligde Linux installatie?

[Verwijderd]

Op veel vlakken is een standaard linux-installatie (RHEL) niet erg veilig. Een typisch voorbeeld is het niet standaard aanmaken en beveiligen van een /tmp-partitie, waardoor apache onbeperkt kan schrijven en uitvoeren op /tmp. Verdere belangrijke opties zouden zijn, een standaard firewall die alle poorten blokkeert, beveiligde SSH, IP's permanent blokkeren na veel authenticatie failures,

EnGarde Secure Linux ziet er wel goed uit, maar ik weet niet of dat een distro is en of dit verstandig is in combinatie met bekende software, dat meestal geschikt is voor de bekende distros.

Bij het installeren en beheren van enkele servers is het geen probleem om alles handmatig te doen, maar een standaard erg beveiligd OS, zou ook erg prettig zijn.

Selinux heb ik ook al naar gekeken, maar de vorige keer had ik meteen 30 regels in 3 dagen moeten verwijderen, voordat alles enigszins werkte. Waarschijnlijk had ik nog veel moeten uitschakelen als ik het niet had uitgeschakeld.

[Verwijderd]

Standaard helemaal goed beveiligd bestaat niet. Een goede beheerder past het systeem zo aan dat het aan zijn eisen voldoet.

Ik vind het nogal zwak om te zeggen dat RHEL niet zou voldoen. Ik denk dat je dan vooral zelf niet erg hebt begrepen hoe je een systeem beveiligt. Het is nogal naïef om er vanuit te gaan dat een ander dat voor je doet.

Beveiliging is vaak een directe vijand van gebruikersgemak en überhaupt bruikbaarheid. Als een ander, namelijk de ontwikkelaars van de distributie, alles goed zouden beveiligen, zou jij het niet kunnen gebruiken.

En dan SELinux uitschakelen omdat jij er niet mee kunt werken? Wat verwacht je dan dat ik daar verder nog over zeg?

Standaard is Apache niet eens geïnstalleerd als je daarvoor kiest. SELinux staat wel standaard aan, en je kunt inloggen, packages installeren, configuratiebestanden wijzigen, users en groepen aanmaken. Standaard wordt veel door de firewall geblokkeerd. Vrijwel alles behalve SSH. En ik mag toch hopen dat je geen simpele wachtwoorden kiest? Om bruteforce aanvallen zou je je lul uit je broek moeten lachen. Nul procent kans van slagen.

Wat je verwacht bestaat niet. Wil je dat het wel bestaat, maak het dan ook zelf. Vrijwel alles is open source.

Ik zou persoonlijk meer moeite steken in het leren omgaan met de middelen die er zijn, want dat zijn er heel wat. Probeer eens eerlijk te bepalen of een tekortkoming er een van de distributie is, of van jezelf.

[lordgandalf]

Als je een beveiligd OS wil moet je denk ik toch echt OpenBSD een poging geven is wel iets anders dan Linux maar wel out of the box secure (zover dat mogelijk is)

[Verwijderd]

Ik begrijp wel wat je bedoelt, ik ben zelf ook een groot fan van RHEL, maar het probleem is dat het veel werk zal zijn om elk LinuxVPS handmatig te hardenen.

Ik kies geen eenvoudige wachtwoorden, maar klanten bijvoorbeeld wel op een FTP-service. Het is prettig dat IP's geblokkeerd worden na vaak verkeerde authenticatie. Hetzelfde voor SSH, daar is het ook gewoon makkelijk om SSH ip-restricted te hebben, zodat je alleen vanaf bekende locaties en een speciale server kunt inloggen bijvoorbeeld.

Binnenkort moet ik namelijk 8 LinuxVPS-servers configureren en ik vraag me af hoe ik me dat eenvoudiger kan maken. OpenBSD lijkt inderdaad sowieso erg veilig. Ik denk dat het bij servers die weinig taken hebben, sowieso erg belangrijk is dat er zo weinig mogelijk op draait. Geen httpd-server op een dns-server e.d. Bij een CentOS installer via ServerCD wordt httpd, mail, dns, samba, allemaal standaard meegeinstalleerd. Daarom kies ik waar mogelijk ook altijd een minimale install.

Als ik mensen zie hoe ze mysql en php installeren met 'yum install php*', of zelfs op howto-forge advies geven dat ze maar complete pakketten tools moeten installeren: yum groupinstall 'Development Tools', yum groupinstall 'Development Libraries', vb: http://www.howtoforge.com/forums/showthread.php?t=33407.

[JaQ]

Verwijderd schreef op zondag 07 februari 2010 @ 12:32:
Ik begrijp wel wat je bedoelt, ik ben zelf ook een groot fan van RHEL, maar het probleem is dat het veel werk zal zijn om elk LinuxVPS handmatig te hardenen.

Dus ga je met iets als cobbler aan de slag?

[Boudewijn]

Of gewoon met fai 1x een goede debian install doen?
Die kun je dan x keer uitrollen zonder veel moeite.

[igmar]

Verwijderd schreef op zondag 07 februari 2010 @ 12:32:
Ik begrijp wel wat je bedoelt, ik ben zelf ook een groot fan van RHEL, maar het probleem is dat het veel werk zal zijn om elk LinuxVPS handmatig te hardenen.

Je kan een RPM virtual package maken wat de benodigde configfiles zelf aanpast. Op die manier kun je eventueel later ook dingen bijstellen.