Jans Wiki - root-server

Apache2 deinstallieren

anonymous@undisclosed.example.com (Anonymous) — Wed, 12 Oct 2016 19:55:26 +0000

Apache2 deinstallieren

Sofern der von Ubuntu mitinstallierte Apache nicht gebraucht ist, kann er einfach deinstalliert werden.

Deinstallation

Den Service stoppen:

sudo service apache2 stop

Deinstallation durchführen:

sudo apt-get purge apache2 apache2-utils

Noch Dateien und Verzeichnisse zum Apache finden

whereis apache2

Ggf. noch vorhandene Vorkommen löschen:

sudo rm -rf /etc/apache2

Fail2Ban

anonymous@undisclosed.example.com (Anonymous) — Wed, 12 Oct 2016 20:39:31 +0000

Fail2Ban

Installation

sudo apt-get install fail2ban

Konfiguration

SSH

Die Datei „/etc/fail2ban/jail.local“ mit diesem Inhalt erstellen:

jail.local

# Fail2Ban configuration file.
#
# This file was composed for Debian systems from the original one
# provided now under /usr/share/doc/fail2ban/examples/jail.conf
# for additional examples.
#
# Comments: use '#' for comment lines and ';' for inline comments
#
# To avoid merges during upgrades DO NOT MODIFY THIS FILE
# and rather provide your changes in /etc/fail2ban/jail.local
#
 
# The DEFAULT allows a global definition of the options. They can be overridden
# in each jail afterwards.
 
[DEFAULT]
 
# "bantime" is the number of seconds that a host is banned.
bantime  = 3600 
 
# A host is banned if it has generated "maxretry" during the last "findtime"
# seconds.
findtime = 1800
maxretry = 3
 
[ssh-ddos]
 
enabled  = true
port     = ssh
filter   = sshd-ddos
logpath  = /var/log/auth.log
maxretry = 6

Lynis (Security Audit)

anonymous@undisclosed.example.com (Anonymous) — Sat, 15 Oct 2016 19:12:33 +0000

Lynis (Security Audit)

Offizielle Website: https://cisofy.com/lynis/

Installation

Für die immer neuste Version sollten die offiziellen Paketquellen eingerichtet werden (Vgl. https://packages.cisofy.com/#debian-ubuntu)

sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys C80E383C3DE9F082E01391A0366C67DE91CA5D5F
sudo echo "deb https://packages.cisofy.com/community/lynis/deb/ xenial main" > /etc/apt/sources.list.d/cisofy-lynis.list
 
sudo apt-get install apt-transport-https
sudo apt-get update
sudo apt-get install lynis

Ausführen

sudo lynis audit system

Ausführliche Informationen sind anschließend hier zu finden: „/var/log/lynis.log“

Postfix

anonymous@undisclosed.example.com (Anonymous) — Sat, 15 Oct 2016 09:55:10 +0000

Postfix

Installation

sudo apt-get install postfix libsasl2-modules bsd-mailx

Ist „postfix“ bereits installiert, kann man den Konfigurationsassistenten auch mit „sudo dpkg-reconfigure postfix“ erneut starten.

Konfiguration

Im Konfigurationsassistenten folgende Einstellungen wählen und jeweils mit Enter bestätigen:

E-Mail-Server-Konfiguration: „Satellitensystem“
System-E-Mail-Name: Hier die Domain des Servers eingeben oder den Systemnamen
SMTP-Relay-Server: Hier den passende URL des zu versendenden Mailservers eingeben

Die Datei „/etc/postfix/main.cf“ öffnen und folgendes nach „# TLS parameters“ ergänzen:

smtp_sasl_auth_enable = yes
smtp_sasl_security_options = noanonymous
smtp_sasl_password_maps = hash:/etc/postfix/sasl_password
smtp_tls_security_level = encrypt # „may“ ist auch möglich, dann könnten E-Mails aber nicht verschlüsselt übertragen werden, wenn der Zielmailserver dies nicht unterstützt
sender_canonical_maps = hash:/etc/postfix/sender_canonical

Die neue Datei „/etc/postfix/sender_canonical“ mit einer gültigen Absenderadresse für den Zielmailserver anlegen:

benutzer email.adresse@gmx.net
www-data beispiel@example.com
root email.adresse@gmx.net

Die neue Datei „/etc/postfix/sasl_password“ mit Benutzername und Passwort für den Zielmailserver anlegen:

UrlDesZielMailservers benutzername@domain.de:PASSWORT

Die Dateirechte auf diese Datei aus Sicherheitsgründen einschränken:

sudo chmod 600 /etc/postfix/sasl_password

Nun brauch postfix noch einen Eintrag hierfür in seine Datenbank:

sudo postmap hash:/etc/postfix/sasl_password
sudo postmap /etc/postfix/sender_canonical

Anschließend Postfix neustarten:

sudo systemctl restart postfix

Test

Mit folgendem Befehl kann man sich eine Test-E-Mail zustellen lassen:

echo "Testmail" | mailx -s "Testmail" meinname@example.com

SSH

anonymous@undisclosed.example.com (Anonymous) — Sat, 15 Oct 2016 20:06:58 +0000

SSH

Neue Server-Schlüssel (ssh host keys) generieren

Zuerst die alten löschen:

sudo rm /etc/ssh/ssh_host_*

Anschließend neu generieren lassen:

sudo dpkg-reconfigure openssh-server

Neue moduli-Datei generieren

Die Datei „/etc/ssh/moduli“ ist wichtig für die Verwendung des Diffie Hellman Schlüsselaustausches. Man sollte diese Datei neu generieren:

sudo ssh-keygen -G /etc/ssh/moduli.all -b 4096
sudo ssh-keygen -T /etc/ssh/moduli.safe -f /etc/ssh/moduli.all # Der Test auf sichere Zahlen kann 2 Stunden dauern!!!
# Mögliches Ergebnis: Found 32 safe primes of 184101 candidates in 8077 seconds
sudo mv /etc/ssh/moduli.safe /etc/ssh/moduli
sudo rm /etc/ssh/moduli.all

Dieser Vorgang kann einige Zeit in Anspruch nehmen.

Sichere Verschlüsselungseinstellungen

Unterstützte Sicherheitseinstellungen ermitteln

Nicht alle Server unterstützen alle folgenden Verschlüsselungseinstellungen. Hiermit kann man sich die unterstützen Einstellungen anzeigen lassen:

sshd -T | grep "\(ciphers\|macs\|kexalgorithms\)"

Konfiguration

Es sollten nur sichere Verschlüsselungseinstellungen gewählt werden. (Vgl. https://stribika.github.io)

Daher in die Datei „/etc/ssh/sshd_config“ folgendes ergänzen:

Ciphers       chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
KexAlgorithms curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256
MACs          hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,umac-128@openssh.com

SSH auf bestimmte Benutzer / Gruppen beschränken

Damit nicht jeder Benutzer SSH benutzen kann, kann man diesen Zugang auf Benutzer oder Gruppenebene beschränken.

Die folgenden Einstellungen sind in der Datei „/etc/ssh/sshd_config“ vorzunehmen.

Benutzer

AllowUsers mmustermann1 mmustermann2

Gruppen

AllowGroups gruppe1 gruppe2

Weitere Sicherheitseinstellungen

Die folgenden Einstellungen sind in der Datei „/etc/ssh/sshd_config“ vorzunehmen.

# Die nachfolgenden Werte sollten bereits im Standard richtig konfiguriert sein
Protocol 2
PermitRootLogin no
PermitEmptyPasswords no
StrictModes yes
IgnoreRhosts yes
HostbasedAuthentication no

Nach Einrichtung einer private/public Key Authentifizierung sollten Passwörter nicht mehr akzeptiert werden:

PasswordAuthentication no

Weiteres (sehr abhängig vom Einsatzzweck):

AllowTcpForwarding no
X11Forwarding no
 
# Disable TCPKeepAlive and use ClientAliveInterval instead to prevent TCP Spoofing attacks
TCPKeepAlive no
ClientAliveInterval 300
ClientAliveCountMax 2
 
Compression no
MaxAuthTries 1
MaxSessions 2
UsePrivilegeSeparation sanbox
AllowAgentForwarding no

Root-Server

anonymous@undisclosed.example.com (Anonymous) — Wed, 12 Oct 2016 16:48:15 +0000

Root-Server

Die Informationen in diesem Bereich beziehen sich auf einen Ubuntu-Server 16.04 64-bit.

Zeit und Sprache einrichten

anonymous@undisclosed.example.com (Anonymous) — Wed, 12 Oct 2016 19:48:05 +0000

Zeit und Sprache einrichten

Sprache

Konfiguration

dpkg-reconfigure locales

Zeitzone

Konfiguration

dpkg-reconfigure tzdata

Anschließend einfach die richtigen Zahlen eingeben und fertig:

Configuring tzdata
------------------
 
Please select the geographic area in which you live. Subsequent configuration questions will narrow this down by presenting a list of cities, representing the time zones in which they are located.
 
  1. Africa  2. America  3. Antarctica  4. Australia  5. Arctic Ocean  6. Asia  7. Atlantic Ocean  8. Europe  9. Indian Ocean  10. Pacific Ocean  11. System V timezones  12. US  13. None of the above
 
Geographic area: 8
 
 
Please select the city or region corresponding to your time zone.
 
  1. Amsterdam  6. Belgrade    11. Budapest    16. Gibraltar    21. Jersey       26. London      31. Minsk    36. Paris      41. Samara      46. Sofia      51. Ulyanovsk  56. Vilnius     61. Zurich
  2. Andorra    7. Berlin      12. Busingen    17. Guernsey     22. Kaliningrad  27. Luxembourg  32. Monaco   37. Podgorica  42. San_Marino  47. Stockholm  52. Uzhgorod   57. Volgograd
  3. Astrakhan  8. Bratislava  13. Chisinau    18. Helsinki     23. Kiev         28. Madrid      33. Moscow   38. Prague     43. Sarajevo    48. Tallinn    53. Vaduz      58. Warsaw
  4. Athens     9. Brussels    14. Copenhagen  19. Isle_of_Man  24. Lisbon       29. Malta       34. Nicosia  39. Riga       44. Simferopol  49. Tirane     54. Vatican    59. Zagreb
  5. Belfast    10. Bucharest  15. Dublin      20. Istanbul     25. Ljubljana    30. Mariehamn   35. Oslo     40. Rome       45. Skopje      50. Tiraspol   55. Vienna     60. Zaporozhye
 
Time zone: 7
 
 
Current default time zone: 'Europe/Berlin'
Local time is now:      Sun Apr 10 22:21:48 CEST 2016.
Universal Time is now:  Sun Apr 10 20:21:48 UTC 2016.

Zeitsynchronisation

Installation

sudo apt-get install ntp

UFW

anonymous@undisclosed.example.com (Anonymous) — Sat, 15 Oct 2016 18:54:45 +0000

UFW

Installation

sudo apt-get install ufw

SSH limitieren

sudo ufw limit ssh

Automatische Aktualisierungen

anonymous@undisclosed.example.com (Anonymous) — Sat, 15 Oct 2016 09:54:46 +0000

Automatische Aktualisierungen

Bei einem Server ist es wichtig, immer die aktuellsten Sicherheitsaktualisierungen zu installieren. Dies geht bei Ubuntu wie folgt:

Installation

sudo apt-get install unattended-upgrades

Konfiguration

In der Datei „/etc/apt/apt.conf.d/50unattended-upgrades“ können nun weitere Einstellungen vorgenommen werden.

Sicherheitsaktualisierungen

// Automatically upgrade packages from these (origin:archive) pairs
Unattended-Upgrade::Allowed-Origins {
"${distro_id}:${distro_codename}-security";
// "${distro_id}:${distro_codename}-updates";
// "${distro_id}:${distro_codename}-proposed";
// "${distro_id}:${distro_codename}-backports";
};

Ist vor „"${distro_id}:${distro_codename}-security";“ kein „//“, dann werden die Sicherheitsaktualisierungen bei der Überprüfung auf Aktualisierungen beachtet.

Aktualisierungsintervall

In der automatisch bei der Installation angelegten Datei „/etc/apt/apt.conf.d/20auto-upgrades“ folgende Zeilen ergänzen:

APT::Periodic::Update-Package-Lists "1"; # Zeile sollte bereits vorhanden sein
APT::Periodic::Unattended-Upgrade "1"; # Zeile sollte bereits vorhanden sein
APT::Periodic::Download-Upgradeable-Packages "1";
APT::Periodic::AutocleanInterval "7";

Aktivierung

Da Ubuntu auf systemctl bei der Ausführung (statt [ana]cron) umgestellt hat, muss sichergestellt sein, dass durch systemctl die Ausführung vorgenommen wird:

sudo systemctl enable apt-daily.timer # Aktiviert den Service nach einem Neustart
sudo systemctl start apt-daily.timer # Startet den Service sofort

Per E-Mail informiert werden

Setzt eine Konfiguration von Postfix, wie hier voraus: Postfix

Diese Zeilen in „/etc/apt/apt.conf.d/50unattended-upgrades“ ausfüllen: <code bash> Unattended-Upgrade::Mail „meinemail@example.com“;