Jump to content

saxmax

Members
  • Content Count

    8
  • Joined

  • Last visited

1 Follower

About saxmax

  • Rank
    Nuovo utente
  1. Ok, inizio a relazionare sugli sviluppi del lavoro. Purtroppo il lavoro in locale si è dimostrato più complicato del previsto, il mio portatile è vetusto e la creazione di un ambiente virtuale si è rivelata praticamente impossibile, mi crasha tutto per mancanza di memoria.. :frown: Così sto lavorando direttamente sul vps, ho fatto diversi casini, riflashato e rifatto. Ogni modifica è stata fatta ad incrementare, ed ogni volta che non lo uso lo stacco. Alla fine mi pare di essere riuscito a porre le basi di un ambiente sufficientemente sicuro. Se possibile, mi dareste una mano a capire cosa ancora posso controllare per avere una ragionevole certezza di non diventare uno zombie nel giro di 48 ore? :asd: Posto un pò di info, se vi serve altro chiedete: -Rimosso account root -Creato nuovo user e inserito nei sudoers -Modificata porta standard (qui sotto la trovate come "altraporta", penso sia meglio non scriverla in giro, anche se con uno sniff penso ci voglia un minuto a scoprirla..) -Rimosso accesso via password, accesso ora solo con private key e relativa password di encriptazione -Verificato che in ascolto vi fossero solo cose che fossero necessarie con netstat: netstat -tap |grep LISTEN tcp 0 0 localhost.lo:submission *:* LISTEN 1668/sendmail: MTA: tcp 0 0 *:http *:* LISTEN 1775/apache2 tcp 0 0 localhost.localdom:smtp *:* LISTEN 1668/sendmail: MTA: tcp 0 0 *:altraporta *:* LISTEN 1709/sshd tcp6 0 0 [::]:altraporta [::]:* LISTEN 1709/sshd Passi successivi: - Installazione fail to ban - Installazione ufw e apertura solo delle porte in uso - Setup di un ambiente di restore e backup - Installazione di harden-surveillance, harden-nids, harden-tools (servono?) C'è altro? Dopo questo posso iniziare a pensare a configurare il sito?
  2. Visto la vostra disponibilità n'è approfitto e faccio un'altra domanda da neofita: Se installo sul vps un sistema di backup e restore ( ovviamente dopo aver posto le prime basi di sicurezza ) e mi copio la macchina in locale? Potrei fare le modifiche e i test in locale, e poi riversare il tutto su? Mi eviterebbe un bel po' di doppio lavoro.. Ovvio che nel frattempo lascerei il vps spento, per evitare intrusioni..
  3. È quello che temevo.. Ok. Grazie mille ragazzi! Appena riesco inizio, vi terrò agfiornati. P.s Donchisciotte, poi se ti ricordi mi interesserebbe sapere i risultati dei tuoi test su quel pannello. Quando e se riesci a farli, ovvio!
  4. Ok, penso che farò così: - Parto con debian 7. Così posso seguire i link che mi hai postato. Farò diverse prove in locale, in modo da capire come fare a settare un ambiente minimo, con pochi servizi, e implementando al massimo i consigli che ho letto sull'hardening di base. Una volta abbastanza impratichito, parto ad aggiungere i servizi uno a uno per valutare quali passi sono necessari per garantire la sicurezza. Se poi riesco, provo anche qualche pannello, tipo quel vesta. - Una volta settato il tutto in modo che funzioni, mi sposto online. Domanda da niubbo (non vi arrabbiate): è poi possibile passare da locale a vps "spostando" la macchina? O devo poi rifare tutto di la?
  5. Grazie mille ragazzi, stanno uscendo cose davvero interessanti! :approved: Grazie DonChisciotte per i link, sono da paura! C'è una vera miniera di info li! Da perdertici! Ho un sacco di belle cosette da studiare.. :sbav: Grazie anche a te HostinGorilla, quel vesta in effetti sembra molto carino, mi sa che lo proverò di sicuro. Capisco anche il discorso del "prova in locale, e poi vai in produzione". Credo che seguirò il vostro consiglio. Non ci metto nulla a stoppare il vps, e a riavviarlo quando sarò più abile nel gestire eventuali problemi. Mi evito rogne.. Saranno felicissimi anche quelli dell'hosting! :asd: Parlando di domande specifiche, vorrei chiedervi una cosa: Cosa ne pensate di public key authentication? Può essere utile per mitigare i problemi relativi all'accesso via ssh? O è una perdita di tempo? Se stoppassi tutti i servizi tranne ssh, e utilizzassi l'autenticazione tramite public key invece che tramite password, potrebbe essere sufficiente a garantirmi un ambiente di studio sufficientemente sicuro? Mi pare di capire che, per come sono messo, neanche in locale sono al sicuro.. Sarà che a leggere tutti sti articoli sulla sicurezza vengono le paranoie.. Ma mi pare di capire che neanche il mio pc di casa sia poi così al sicuro.. :zizi:
  6. Grazie Rey per i link, ci sono un sacco di spunti interessanti, peccato davvero che in pochi abbiano dato un contributo al progetto. Chissà se in futuro ci sarà da qualche parte un luogo di cui parlare di questi argomenti per passione, e condividere quello che si sa in modo da aiutare gli altri a imparare. :approved: Detto questo, almeno un'idea di base me la sto facendo. Ammesso (e non concesso) che di linux come dicevo un pò ne mastico, mi dirigerei soprattutto sul lato "sistemi di rete", come consigliato da andrea.paiola . Per cui vi chiedo se siete a conoscenza di siti su cui potrei iniziare a informarmi su questi argomenti. Inoltre, visto che giustamente la sicurezza viene prima di tutto, se avete anche sul discorso "hardening" dritte, consigli o siti di riferimento. Sinora, mi sono occupato di implementeare solo sistemi di difesa "base" (rimozione dell'accesso a root, setup di fail2ban, chroot degli account ftp, uso di sftp, e creazione dei relativi certificati ssh selfsigned). Quali aspetti dovrei approfondire ancora per garantire un minimo di sicurezza al progetto, tale da permettermi di non rischiare "eccessivamente"? Ovvio che non pretendo di fregare l'hacker smaliziato, ma almeno difendermi dai pesci piccoli e non diventare subito uno "zombie" come giustamente dice andrea. :sisi: P.s tanto per fare un esempio concreto, immagino che conosciate questi how-to che si trovano online. Premesso che capisco perfettamente che usarli significa leggere il bignami e pensare di aver capito la divina commedia, ma mi potete dire, se volete, cosa ne pensate? Utilizzando come linea guida un discorso del genere, si lasciano falle molto grandi? Potrebbe essere un inizio accettabile per lanciare il progetto, e poi migliorarlo pian piano? Cosa si potrebbe fare di diverso per migliorare la sicurezza?
  7. Me ne sono accorto, altrimenti non sarei qui a chiedere consigli al riguardo. ;) La cosa non mi spaventa, ho due anni di contratto per il prezzo di una pizza e una birra, per cui alla peggio sarà stato in ogni caso un esperimento che mi sarà utile a capire qualcosa di più di un argomento utile ed interessantissimo. Senza contare che, come ho già detto, sono perfettamente in grado di mettere online il sito e rendere produttivo il vps, quindi evidentemente così totalmente sprovveduto non lo sono. Quello che non so, e che vorrei umilmente imparare a conoscere, è come farlo al meglio, un passo alla volta, dalle basi. Capisco benissimo che per voi queste domande possono sembrare ridicole, è come se a me chiedessero l'origine e l'inserzione dello sternocleidomastoideo. Ma se qualcuno ha consigli o suggerimenti al riguardo, sarei lietissimo di sentirli. Ancora grazie per la vostra attenzione
  8. Buongiorno a tutti! :ciao: Apro il primo topic sul vostro bel forum per farvi alcune domande generali riguardo alla gestione di un VPS. Non sono un sistemista, sono un fisioterapista, ma da diversi anni oramai mi occupo di siti web "per divertimento". Ho creato diversi siti web su piattaforme condivise, e da un annetto circa ho fondato un forum emergente sugli acquari. Se volete poi, se vi interessa, metto il link. Mi è capitata sotto mano un' offerta che reputavo molto utile al fine di fornire uno spazio più "ampio" al crescente forum, ed ho preso un vps su "hostinger" ad un prezzo stracciato. Purtroppo qui viene il "quid", ovviamente è un server unmanaged, e per quanto sia già presettabile con diverse distro e io in realtà sia già riuscito a far girare il tutto senza grossissimi problemi (se si esclude il server mail che funziona solo in ricezione), mi accorgo che le mie conoscenze di base sono largamente insufficienti per permettermi di sfruttarlo appieno. Per questo motivo, chiedo a voi esperti una mano. Non per settarmi il vps, ma per consigliarmi su cosa può essere utile leggere e studiare per capire effettivamente come farlo. Uso ubuntu da anni ormai, per cui sono sicuramente in grado di effettuare la manutenzione ordinaria, non mi spaventa affatto il terminale (da ragazzino ho fatto un sacco di macelli col dos e le bbs, quando ancora non c'era internet) ed imparo in fretta. Quello che mi manca, è il bagaglio tecnico relativo all'ambiente "server". Cioè non capisco granchè di apache, php e faccio fatica a districarmi fra i loro files di configurazione, a capire le loro possibilità e come sfruttare al meglio la macchina. Premesso che: - le immagini di distro disponibili sull'hosting sono varie, prevedono distro "minimal" (ubuntu, centos, debian, e altri) e altre con già installato l'ambiente LAMP, virtualmin, ispconfig etc.. - il server ha 20 gb di HD (200.000 inodes soltanto, però) e 2 gb di ram - Ho registrato un dominio di primo livello .com e già punta al server - Sul server vorrei idealmente far girare più di un sito, con "piattaforme" diverse (phpbb, joomla, wordpress), ma tutti con carico medio-basso Vi chiedo: - Quale distribuzione sarebbe la vostra prima scelta, tenendo conto dell'uso che vorrei farne, e della semplicità d'uso e manutenzione - Su quali siti online (anche internazionali, parlo e leggo 4 lingue correntemente, l'inglese per me è come l'italiano) potrei iniziare a imparare le basi della gestione di un ambiente server - Quali sono gli aspetti chiave da "sapere meglio" e quali invece possono essere affidati abbastanza in sicurezza ai vari frontend (ispconfig, webmin, virtualmin) - Dove posso recuperare e studiare in particolare le funzioni dei mailserver, in quanto le immagini fornite dall'host danno grossi problemi di funzionalità. Ringrazio tutti per l'attenzione. Capisco che il vostro primo istinto sarà di dirmi "ma chi te l'ha fatto fare, se ti affidavi ad un host managed era meglio" o "se continuavi a fare il fisioterapista ti evitavi un sacco di mal di testa" o "cercati le cose da solo come abbiamo fatto tutti". E lo capisco. Ma spero che comunque possiate aiutarmi ad entrare in questo mondo molto affascinante e a capirne, se non altro, i rudimenti. E chissà, magari in futuro ad essere in grado di aiutare a mia volta persone che con entusiasmo vi si avvicinano. Buona domenica a tutti, e scusate il post chilometrico!
×