Server-Sicherheit (Teil 1)¶

sudo apt install ufw
sudo ufw enable
sudo systemctl status ufw

sudo ufw default deny outgoing
sudo ufw default deny incoming

sudo ufw allow 80,443/tcp
sudo ufw allow 22/tcp
sudo ufw allow 123/udp
sudo ufw allow in from any to any port 53
sudo ufw allow out 80,443/tcp
sudo ufw allow out 22/tcp
sudo ufw allow out 123/udp
sudo ufw allow out from any to any port 53

sudo ufw status numbered

Status: active

        To                  Action          From
        --                  ------          ----
[ 1]    80,443/tcp          ALLOW IN        Anywhere
[ 2]    22/tcp              ALLOW IN        Anywhere
[ 3]    123/udp             ALLOW IN        Anywhere
[ 4]    53                  ALLOW IN        Anywhere
[ 5]    80,443/tcp          ALLOW OUT       Anywhere
[ 6]    22/tcp              ALLOW OUT       Anywhere
[ 7]    123/udp             ALLOW OUT       Anywhere
[ 8]    53                  ALLOW OUT       Anywhere
[ 9]    80,443/tcp (v6)     ALLOW IN        Anywhere (v6)
[10]    22/tcp  (v6)        ALLOW IN        Anywhere (v6)
[11]    123/udp  (v6)       ALLOW IN        Anywhere (v6)
[12]    53  (v6)            ALLOW IN        Anywhere (v6)
[13]    80,443/tcp  (v6)    ALLOW OUT       Anywhere (v6)
[14]    22/tcp  (v6)        ALLOW OUT       Anywhere (v6)
[15]    123/udp  (v6)       ALLOW OUT       Anywhere (v6)
[16]    53  (v6)            ALLOW OUT       Anywhere (v6)

sudo cp --archive /etc/systemd/timesyncd.conf /etc/systemd/timesyncd.conf-COPY-$(date +"%Y%m%d%H%M%S")

sudo vi /etc/systemd/timesyncd.conf

[Time]
NTP=0.pool.ntp.org 1.pool.ntp.org
FallbackNTP=ntp.ubuntu.com

sudo systemctl restart systemd-timesyncd
sudo systemctl status systemd-timesyncd

timedatectl | grep Time

Time zone: Europe/Budapest (CEST, +0200)

sudo timedatectl set-timezone Europe/Budapest

sudo ufw allow 2222/tcp
sudo ufw allow out 2222/tcp

sudo cp --preserve /etc/ssh/sshd_config /etc/ssh/sshd_config.$(date +"%Y%m%d%H%M%S")

sudo vi /etc/ssh/sshd_config

# Unterstützte HostKey-Algorithmen in der Reihenfolge ihrer Bevorzugung:

HostKey /etc/ssh/ssh_host_ed25519_key
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
KexAlgorithms curve25519-sha256@libssh.org,ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha256
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,umac-128@openssh.com

# Verschiedene Sicherheitseinstellungen:

Port                            2222        # von Standard-SSH-Port 22 abweichen (entsprechend anpassen)
LogLevel                        VERBOSE     # den Fingerabdruck des Benutzers bei der Anmeldung protokollieren, um einen eindeutigen Nachweis darüber zu haben, welcher Schlüssel zur Anmeldung verwendet wurde
Protocol                        2           # nur das neuere, sicherere Protokoll verwenden
PermitUserEnvironment           no          # BenutzerInnen keine Umgebungsvariablen setzen lassen
PermitRootLogin                 no          # Root-Anmeldung nicht zulassen
PubkeyAuthentication            yes         # Authentifizierung mit öffentlichem Schlüssel erlauben
PasswordAuthentication          no          # Anmeldung mit Passwort verbieten
PermitEmptyPasswords            no          # Keine Anmeldung zulassen, wenn das Konto ein leeres Passwort hat
MaxAuthTries                    3           # Maximal erlaubte Anmeldeversuche
MaxSessions                     2           # Maximale Anzahl von offenen Sitzungen
X11Forwarding                   no          # X11-Weiterleitung deaktivieren
IgnoreRhosts                    yes         # .rhosts und .shosts ignorieren
UseDNS                          no          # Übereinstimmung von Hostname und IP überprüfen
ClientAliveCountMax             0           # Maximale Anzahl von unbeantworteten Client-Alive-Nachrichten
ClientAliveInterval             300         # Wartezeit in Sekunden, bevor eine Antwort angefordert wird
AllowUsers                      gofossadmin # nur dem Benutzer gofossadmin erlauben, sich aus der Ferne anzumelden (entsprechend anpassen)

# Portweiterleitung deaktivieren:

AllowAgentForwarding            no
AllowTcpForwarding              no
AllowStreamLocalForwarding      no
GatewayPorts                    no
PermitTunnel                    no

# Dateizugriff auf sftp-Ebene protokollieren (read/write/etc.):

Subsystem sftp  /usr/lib/openssh/sftp-server

# Andere Sicherheitseinstellungen:

Compression                     no
PrintMotd                       no
TCPKeepAlive                    no
ChallengeResponseAuthentication no
UsePAM                          yes
AcceptEnv LANG LC_*

sudo systemctl restart sshd
sudo ss -tlpn | grep ssh

echo 'TMOUT=300' >> .bashrc
tail .bashrc

sudo cp --archive /etc/ssh/moduli /etc/ssh/moduli-COPY-$(date +"%Y%m%d%H%M%S")

sudo awk '$5 >= 3071' /etc/ssh/moduli | sudo tee /etc/ssh/moduli.tmp
sudo mv /etc/ssh/moduli.tmp /etc/ssh/moduli

sudo vi /etc/issue.net

Dieses System darf nur von befugten Benutzern bedient werden.

Personen, die dieses Computersystem unbefugt oder unter Überschreitung ihrer Befugnisse benutzen, müssen damit rechnen, dass alle ihre Aktivitäten in diesem System vom Systempersonal überwacht und aufgezeichnet werden.

Im Rahmen der Überwachung von Personen, die dieses System missbräuchlich benutzen, oder im Rahmen der Systemwartung können auch die Aktivitäten von autorisierten Benutzern überwacht werden.

Jeder, der dieses System benutzt, erklärt sich ausdrücklich mit einer solchen Überwachung einverstanden und wird darauf hingewiesen, dass das Systempersonal den Strafverfolgungsbehörden die Beweise für eine solche Überwachung zur Verfügung stellen kann, wenn diese Überwachung mögliche Beweise für kriminelle Aktivitäten ergibt.

su - gofossadmin
ssh -p 2222 gofossadmin@192.168.1.100

sudo ufw delete allow 22/tcp
sudo ufw delete allow out 22/tcp

sudo mysql

ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password by 'StrongPassword';

exit

sudo mysql_secure_installation

sudo cp --archive /etc/mysql/mysql.conf.d/mysqld.cnf /etc/mysql/mysql.conf.d/mysqld.cnf-COPY-$(date +"%Y%m%d%H%M%S")

sudo vi /etc/mysql/mysql.conf.d/mysqld.cnf

bind-address = 127.0.0.1
local-infile = 0

sudo apt install libapache2-mod-security2 libapache2-mod-evasive

sudo a2enmod security2
sudo a2enmod evasive
sudo a2enmod rewrite
sudo a2enmod headers
sudo a2enmod ssl
sudo a2enmod proxy
sudo a2enmod proxy_html
sudo a2enmod proxy_http
sudo a2enmod proxy_wstunnel
sudo a2enmod xml2enc
sudo a2enmod expires
sudo systemctl restart apache2

sudo vi /etc/apache2/conf-available/custom.conf

ServerTokens        Prod
ServerSignature     Off
TraceEnable         Off
Options all -Indexes
Header always unset X-Powered-By

sudo a2enconf custom.conf
sudo apachectl configtest
sudo systemctl restart apache2

sudo mv /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf
sudo vi /etc/modsecurity/modsecurity.conf

SecRuleEngine                   On
SecResponseBodyAccess           Off
SecRequestBodyLimit             8388608
SecRequestBodyNoFilesLimit      131072
SecRequestBodyInMemoryLimit     262144

sudo rm -rf /usr/share/modsecurity-crs
sudo apt install git
sudo git clone https://github.com/SpiderLabs/owasp-modsecurity-crs.git /usr/share/modsecurity-crs
cd /usr/share/modsecurity-crs
sudo mv crs-setup.conf.example crs-setup.conf

sudo cp --archive /etc/apache2/mods-enabled/security2.conf /etc/apache2/mods-enabled/security2.conf-COPY-$(date +"%Y%m%d%H%M%S")

sudo vi /etc/apache2/mods-enabled/security2.conf

<IfModule security2_module>
    SecDataDir /var/cache/modsecurity
    IncludeOptional /etc/modsecurity/*.conf
    IncludeOptional /usr/share/modsecurity-crs/*.conf
    IncludeOptional /usr/share/modsecurity-crs/rules/*.conf
</IfModule>

sudo apachectl configtest
sudo systemctl restart apache2

sudo cp --archive /etc/apache2/mods-enabled/evasive.conf /etc/apache2/mods-enabled/evasive.conf-COPY-$(date +"%Y%m%d%H%M%S")

sudo vi /etc/apache2/mods-enabled/evasive.conf

<IfModule mod_evasive20.c>
    DOSPageCount        5
    DOSSiteCount        50
    DOSPageInterval     1
    DOSSiteInterval     1
    DOSBlockingPeriod   600
    DOSLogDir           "/var/log/mod_evasive"
</IfModule>

sudo mkdir /var/log/mod_evasive
sudo chown -R www-data: /var/log/mod_evasive
sudo apachectl configtest
sudo systemctl restart apache2
sudo systemctl status apache2

php -v

sudo apt install php8.1-common php8.1-mbstring php8.1-xmlrpc php8.1-gd php8.1-xml php8.1-intl php8.1-mysql php8.1-cli php8.1-ldap php8.1-zip php8.1-curl php8.1-pgsql php8.1-opcache php8.1-sqlite3

sudo find / -name php.ini

/etc/php/8.1/apache2/php.ini
/etc/php/8.1/cli/php.ini

sudo cp --archive /etc/php/8.1/apache2/php.ini /etc/php/8.1/apache2/php.ini-COPY-$(date +"%Y%m%d%H%M%S")
sudo cp --archive /etc/php/8.1/cli/php.ini /etc/php/8.1/cli/php.ini-COPY-$(date +"%Y%m%d%H%M%S")

sudo vi /etc/php/8.1/apache2/php.ini

expose_php          =   Off
allow_url_fopen     =   Off
allow_url_include   =   Off
display_errors      =   Off
mail.add_x_header   =   Off
disable_functions   =   show_source,system,passthru,phpinfo,proc_open,allow_url_fopen,curl_exec
max_execution_time  =   90
max_input_time      =   90
memory_limit        =   1024M

sudo vi /etc/php/8.1/cli/php.ini

expose_php = Off
allow_url_fopen = Off

sudo apt install unattended-upgrades

sudo vi /etc/apt/apt.conf.d/51myunattended-upgrades

// Aktiviert das Update/Upgrade-Skript (0=deaktivieren)
APT::Periodic::Enable "1";

// Führt "apt-get update" automatisch alle n-Tage aus (0=deaktivieren)
APT::Periodic::Update-Package-Lists "1";

// Führt "apt-get upgrade --download-only" alle n-Tage aus (0=deaktivieren)
APT::Periodic::Download-Upgradeable-Packages "1";

// Führt "apt-get autoclean" alle n-Tage aus (0=deaktivieren)
APT::Periodic::AutocleanInterval "7";

// Sendet Berichtsmail an Root
//     0:  kein Bericht             (oder Null-String)
//     1:  Sachstandsbericht       (jede Zeichenkette)
//     2:  + Befehlsausgaben     (-qq entfernen, 2>/dev/null entfernen, -d hinzufügen)
//     3:  + Aufzeichnung aktiviert
APT::Periodic::Verbose "2";
APT::Periodic::Unattended-Upgrade "1";

// Automatisches Upgrade von Paketen
Unattended-Upgrade::Origins-Pattern {
    "o=Ubuntu,a=stable";
    "o=Ubuntu,a=stable-updates";
    "origin=Ubuntu,codename=${distro_codename},label=Ubuntu-Security";
};

// Gebt Eure eigenen Pakete an, die NICHT automatisch aktualisiert werden sollen
Unattended-Upgrade::Package-Blacklist {
};

// Führt dpkg --force-confold --configure -a aus, wenn ein unsauberer dpkg-Status erkannt wird, um sicherzustellen, dass Updates auch dann installiert werden, wenn das System während eines vorherigen Laufs unterbrochen wurde
Unattended-Upgrade::AutoFixInterruptedDpkg "true";

// Führt die Aktualisierung bei laufendem Betrieb durch, damit Euer Server nicht oft heruntergefahren wird
Unattended-Upgrade::InstallOnShutdown "false";

// Sendet eine E-Mail mit Informationen über die aktualisierten Pakete an diese Adresse.
Unattended-Upgrade::Mail "root";

// E-Mail immer senden
Unattended-Upgrade::MailOnlyOnError "false";

// Entfernt alle ungenutzten Abhängigkeiten nach Abschluss der Aktualisierung
Unattended-Upgrade::Remove-Unused-Dependencies "true";

// Entfernt alle neuen, ungenutzten Abhängigkeiten nach Abschluss der Aktualisierung
Unattended-Upgrade::Remove-New-Unused-Dependencies "true";

// NICHT OHNE BESTÄTIGUNG automatisch neu starten, wenn die Datei /var/run/reboot-required nach der Aktualisierung gefunden wird
Unattended-Upgrade::Automatic-Reboot "false";

// NICHT automatisch neu starten, selbst wenn Benutzer angemeldet sind
Unattended-Upgrade::Automatic-Reboot-WithUsers "false";

sudo unattended-upgrade -d --dry-run