[Security&Apache] Intranetomgeving afdoende beveiligd?

[Clock]

Beste GoT'ers,

Situatie
Ik heb op 2 locaties een servertje staan waarop een rits aan applicaties draait (onafhankelijk van elkaar). Deze applicaties zijn veelal toegankelijk via een webinterface, toegang geschied via het interne netwerk (LAN) en via internet.

Middels een intranet zijn alle webinterfaces aan elkaar gelinkt. De bedoeling is dat het intranet+applicaties vanuit het LAN toegankelijk zijn zonder autorisatie, wordt het vanaf het internet benaderd dient er te worden ingelogd. Deze opzet draait al een tijdje naar volle tevredenheid, maar ik begin nu toch wat twijfels te krijgen over de veiligheid van het systeem.

Openstaande poorten:80 (HTTP) + 5900/5800 (VNC)
Webserver: Apache (onderdeel van WAMP suite) versie 2.2.11
OS: Win XP SP3
XP firewall + MSE

Alle webapplicaties draaien intern op verschillende poorten, maar dmv een proxy wordt dit allemaal achter poort 80 gegooid op verschillende subdomeinen. Een van de proxydefinities uit httpd.conf:

code:

# Intranet
<VirtualHost *:80>
  ServerName framework.domein.nl
  DocumentRoot C:/Applicaties/WAMP/www/

  <Directory C:/Applicaties/WAMP/www/>
    AuthUserFile /Applicaties/WAMP/pwds/.htpasswd
    AuthType Digest
    AuthName "Inloggen aub"
    require valid-user

    order deny,allow
    satisfy any
    deny from all
    allow from 81.207.***.***
  </Directory>
</VirtualHost>

# Applicatie1
<VirtualHost *:80>
  ServerName applicatie1.domein.nl
  ProxyPass               /       http://192.168.2.150:7000/
  ProxyPassReverse        /       http://192.168.2.150:7000/

  <Proxy *>
    AuthUserFile /Applicaties/WAMP/pwds/.htpasswd
    AuthType Digest
    AuthName "Inloggen aub"
    require valid-user

    order deny,allow
    satisfy any
    deny from all
    allow from 81.207.***.***
  </Proxy>
</VirtualHost>

Authentificatie vanaf internet wordt gedaan door de Apache Digest Authentificatie module.

Directe aanleiding is een vreemde log, iemand uit Brazilie heeft vannacht 2 keer ingelogd op een van de servers. Dit is geen login die door een van de gerechtige users is gedaan.

Vragen
- In hoeverre is de Apache Digest Authentificatie loginmodule voldoende veilig?
- Levert de login-uitzondering voor een specifiek IP op deze manier een veiligheidsrisico op? IP-spoofing is een mogelijkheid, echter zal de request dan wel aankomen en doorgelaten worden maar het antwoord van de server komt dan nooit terug bij de hackert.
- Is de Apache install uit de WAMP suite veilig genoeg voor gebruik? De versies lopen hierin altijd wat achter, is het noodzakelijk immer en altijd de nieuwste versie te draaien? Of is voor dit basic-gebruik een oudere versie geen ramp.
- Is de XP firewall + MSE afdoende voor een server die 24/7 aanstaat met poort 80+VNC open?
- Zijn er andere zaken die noodzakelijk zijn voor een veilige omgeving en die ik waarschijnlijk niet op orde heb?

De data op het intranet is niet top-secret, maar graag wil ik het wel volledig voor de rechmatige gebruikers houden. Er kan wel veel gekloot worden met de instellingen in de diverse apps, dat wil ik ook vermijden.

Alvast bedankt!

[Clock]

Een subtiele kick
(Heb de servers offline tot ik erachter ben waar het lek zat)

[Tokolosh]

Is er ingelogd op de vnc service of poort 80 services?

request dan wel aankomen en doorgelaten worden maar het antwoord van de server komt dan nooit terug bij de hackert

Als er een exploit valt te versturen kan iemand het systeem altijd opdracht geven om terug te connecten met de aanvaller.

[ Voor 10% gewijzigd door Tokolosh op 08-02-2011 22:43 ]

[Clock]

Tokolosh schreef op dinsdag 08 februari 2011 @ 19:44:
Is er ingelogd op de vnc service of poort 80 services?


[...]


Als er een exploit valt te versturen kan iemand het systeem altijd opdracht geven om terug te connecten met de aanvaller.

Er is via de poort 80 services ingelogd. En dan specifiek op de content die geserveerd wordt door apache zelf. Ik heb Apache, PHP en MySQL geupdated naar de nieuwste versies en ben nu bezig met om SSL op te zetten.

Ik vond een whitepaper over de veiligheid van Digest Authentication in Apache, daarin stond beschreven dat het aanzienlijk veiliger wordt als al het verkeer door een SSL tunnel loopt.

[Tokolosh]

Is het niet makkelijker om gewoon alles via een vpn te laten lopen? los je in 1 keer alle problemen op met minder werk en scherm je alle zwakheden, ook die inherent aan het vnc protocol zijn ook nog eens af.

Of heb je veel clients waarop je dan een vpn verbindinding moet installeren?

[Anoniem: 395070]

SSL is idd een goed stap vooruit. Digest icm SSL lijkt mij voor je niet top secret gegevens afdoende.

Het kan natuurlijk ook zijn dat de betreffende aanmeld gegevens waarmee wordt aangemeld bemachtigd zijn dmv een keylogger bij een collega thuis op de computer.

Is dit enkel bij een account voor gekomen of heb je meerdere vreemde aanmeldingen? Reset in ieder geval het wachtwoord van het betreffende account.

Daarnaast kunnen achterlopende updates problemen opleveren. Het ligt er uiteraard wel aan wat de update voor problemen oplossen. Dus om te weten of je moet updaten om je beveiliging te verhogen zul je dit eerst moeten achterhalen. Maar de standaard regel is uiteraard hoe sneller je beveiligingsupdates installeert hoe beter.

Als je XP firewall strak instelt lijkt me dit wel afdoende.