Hoe je VPS (echt) goed beveiligen?

[Verwijderd]

Dag iedereen,

Ik zal zo snel mogelijk mijn situatie schetsen: Ik heb een VPS bij linode gehuurd waar ubuntu op draait. Ik heb mooi alle documentatie gevolgd om het "gros" buiten te houden. Tools zoals fail2ban, psad en natuurlijk de handmatige iptables.


Ik heb ook al wat poorten verandert (ssh op een andere poort gezet, etc..)
De common sense niet vergeten: niet alles als root draaien.
Nochtans dat dit volgens de forums al een redelijke bescherming biedt, heb ik toch het gevoel dat ik een valse gedachte van veiligheid heb.
Bijvoorbeeld in de mail-logs: elke 3 minuten een valse login vanaf een domein "XXXXXX.onlinehome-server.com" waartegen fail2ban niet veel tegen kan doen omdat het allemaal andere IP's zijn.
Onverklaarbare CPU spikes (heb al in de logs gekeken, maar ik ik vond niet echt iets)

Ik heb al zitten denken om country-blocks in te stellen (bepaalde landen te bannen zoals China, polen,...), maar dat maakt de IPTables zeer lang (en ik vermoedt dat dit tragere verbindingen veroorzaakt?).

Welke services/tricks gebruiken jullie om hackers buiten te houden?

Natuurlijk is updaten een must (om zaken zoals de shellshock bug tegen te houden).

Tips aangehaald door de community (dit om een overzicht te behouden):
-NoRootLoginAllowed zetten AW_Bos
-SSH-keys (private en public key) AW_Bos

[ Voor 9% gewijzigd door Verwijderd op 12-10-2014 19:18 . Reden: spelfouten+tips com. ]

[AW_Bos]

Tja, dat er elke drie minuten vanuit het buitenland, en met name China, Korea en Rusland een inlogpoging wordt gedaan is niet iets nieuws, het is het gesprek van de dag

Gewoon elke mislukte poging een (tijdelijke) IP-ban geven. Ook SSH moet je op NoRootLoginAllowed zetten, en gebruik vooral SSH-keys.

[gekkie]

pam_abl ... entertaint ze tenminste nog een tijdje omdat ze niet doorhebben dat ze geband zijn
firewall ... zo veel mogelijk poorten dicht en wat ratelimitten qua nieuwe connecties
en vooral me er niet al te druk over maken .. je krijgt nou eenmaal meerdere portscans per dag .. meerdere ssh attempts .. en een zooi spam

[Thralas]

AW_Bos schreef op zondag 12 oktober 2014 @ 19:12:
Gewoon elke mislukte poging een (tijdelijke) IP-ban geven.

Tja, als je veel om je logs geeft. I personally don't care.

Services die non-public zijn moet je niet obfuscaten (non-default port) maar gewoon firewallen. Zoek de ranges van je ISP op, klaar.

Ook SSH moet je op NoRootLoginAllowed zetten,

Dat voegt weinig toe als je andere (zinnigere) maatregelen neemt

en gebruik vooral SSH-keys.

En zet PasswordAuthentication uit, dan zijn al die bruteforce-bots uberhaupt geen issue meer.

[Mr. Jinx]

Ik zeg 1 ding : http://configserver.com/cp/csf.html
Dan hoef je je in iedergeval geen zorgen meer te maken om firewall/iptables/logfiles en ander vreemd gedrag op een server.

Gebruik het al jaren op al mijn servers.

[ Voor 39% gewijzigd door Mr. Jinx op 21-10-2014 18:31 ]

[Hans van Eijsden]

Verwijderd schreef op zondag 12 oktober 2014 @ 19:08:
[...]Tools zoals fail2ban, psad en natuurlijk de handmatige iptables.[...]

Jij gebruikt dus psad. Interessant, want voor mij is dat al een tijd een punt van frustratie. Hoe houd je de disk-IO laag? Want om psad te laten werken moet iptables naar syslog wegschrijven.
Ik heb 48 servers die per stuk gemiddeld 2GB/s uitgaand doen, alles vanuit RAM. Wanneer ik psad installeer en logging naar syslog/klog aan zet in iptables, stijgt de load van gemiddeld 0.04 naar meer dan 19. Hoe heb jij dat opgelost?