Web sunucunuzu güçlendirmek için kılavuz

İşlevi nedeniyle, web sunucuları tipik bir ağ ortamındaki diğer birçok cihazdan farklıdır – web sunucusu yalnızca tasarıma göre internete maruz kalmaz, aynı zamanda yabancılar için web trafiğine hizmet etmesi muhtemeldir. Buna ek olarak, birçok durumda, Web sunucuları WordPress web siteleri gibi dinamik uygulamalar sunma veya diğer dahili uygulamalara vekil olarak hareket etme eğilimindedir. Bu nedenle, web sunucusunun saldırgan için çekici bir hedef olması şaşırtıcı değildir. Sistem sertleştirmesi, sistemin savunmasını kötü bilgisayar korsanlarının sistemden ödün vermesini ve ağda bir dayanak almasını zorlaştıracak şekilde artırma sürecini ifade eder.
Web sunucusu sertleştirme işlemi, elbette, kullandığınız web sunucusunun türüne bağlı olarak (örneğin Apache HTTP sunucusu, Nginx, Microsoft IIS …), ancak bir dizi temel prensip ve en iyi uygulamalar vardır. Hangi web sunucusunu kullanırsanız kullanın, hatırlamanız gereken web sunucusu güvenliğinizi geliştirin. Bu makale bir web sunucusu sertleştirme kılavuzudur. İçinde, web sunucunuzun güvenliğini artırabileceğiniz bir dizi agnostik teknolojinin en iyi uygulamalarını göreceğiz. WordPress sertleşmesi için WordPress Güvenlik ve Sertleştirme Kılavuzumuza bakın. 1. Web sunucunuzu güncellemeye devam edin En son yazılımı korumak büyük bir sorun gibi gelmeyebilir, ancak zamanında bir güvenlik yaması uygulanmasının uygulayabileceğiniz en önemli savunmalardan biri olduğu söylenebilir. Performans ve istikrarı iyileştirmenin yanı sıra, web sunucusu güncellemeleri ve işletim sistemleri genellikle güvenlik açığı için iyileştirmeler içerir.
Yüzeyde, kulağa önemsiz gelebilir, ancak her bilgi güvenliği uzmanı, yamaların göründüğünden daha karmaşık olduğunu söyleyecektir – çoğu yazılımın en son sürümünü yüklemek çok zor olduğu için değil, ancak yama her zaman olabilecek bir şey olarak görüldüğü için ertelenecek. Web sunucusu yazılımınızın güncellenmeye devam etmesini sağlamak için en iyi yaklaşım, size veya web sunucunuzu ve işletim sistemi yazılımınızı güncellemek için atanan herhangi birine uygun bir sistem veya rutin bulmaktır. O zaman çoğu zaman alacağınız periyodik hatırlatmalara (örneğin tekrarlayan takvim olaylarını düzenlemeye) yol açtı. Her zaman böyle olmasa bile gerekli olmayan yazılım ve modülleri silin, web sunucusu karmaşık bir yazılımdır. Apache HTTP sunucusu gibi bazı web sunucuları, kullanımınıza bağlı olarak etkinleştirebileceğiniz veya devre dışı bırakabileceğiniz bir dizi “modül” (WordPress eklentilerine benzer) ile gönderilir. Evil Forveter, web sunucunuz hakkında daha fazla bilgi toplamak için web sunucusu modülünün özelliklerinden ve güvenlik açığından yararlandığı bilinmektedir. Başarılı saldırıların tek nedeni bu olmasa da, web sunucusunun sertleşmesinin özü derin bir savunma yaklaşımı benimsemek ve en küçük temelleri bile zorlaştırmaktır.
Pratik örnek, mod_status apache http sunucusu gibi bir modüldür. Bu modül, Sunucu etkinliği ve performansının genel bir resmini (mevcut ana bilgisayar, işlenen istek sayısı, aktif olmayan işçi sayısı ve CPU kullanımı) URL /sunucu-statüsü aracılığıyla elde etmek için tasarlanmıştır. Bu tür özellikler, saldırgana web sunucunuz performansınızın ne kadar iyi olduğu konusunda oldukça iyi bir gösterge sağlayabilir – bir hizmet reddi (DOS) saldırısı varsa oldukça yararlı araçlar. Benzer şekilde, web sunucunuzda çalışan diğer kullanılmayan yazılımlar gereksiz risklere neden olabilir. Örneğin: VSFTPD gibi FTP sunucusunu mı çalıştırıyorsunuz?
Sendmail veya Postfix gibi artık ihtiyacınız olmayan bir mektup transfer acentesi var mı? WordPress e -posta dağıtım özelliklerini iyileştirmek için üçüncü -Party Hizmetleri kullanıyorsanız, bu tür hizmetlere ihtiyacınız yoktur.
Bu uygulamalar / hizmetler ve sunucudaki diğer birçok kişi, güvenlik alışkanlıkları, güvenlik açığı ve yama gereksinimlerine sahip bileşenlerdir.
Kısacası – mümkünse daha az yazılım çalıştırın. Modül veya hizmet kullanmıyorsanız, bunları devre dışı bırakmayı veya silmeyi düşünmelisiniz. Doğal olarak, geliştirme ortamında veya evrelemede kapsamlı testler olmadan modülleri veya uygulamaları devre dışı bırakmayın (bazen modülün veya web sunucusu uygulamasının kullanıldığı tamamen açık olmayabilir).
3. Doğru olanı elde etmek için web sunucunuza erişim kontrolü kontrol erişimini sıkın. Sonuçta, web sunucunuza erişim olasılığını en aza indirmek istersiniz. Aşağıdakiler, uygun erişim kontrolünün sürdürülmesi ile ilgili olarak takip edilmesi gereken en iyi uygulamalardır. Kök kullanıcıları kullanmayın. İdari bir görev yapmanız gerekiyorsa, bunun yerine sudo kullanın;

Güçlü bir sistem şifresi (ve WordPress) kullanın;
SSH kullanırken SSH tuşunu şifre için kullanın;
SSH/RDP erişimini belirli bir IP adresinden sınırlamayı düşünün;
Herhangi bir bulut sağlayıcı hesabında iki faktörün (2FA) kimlik doğrulamasını etkinleştirmek;
Web sunucusuna erişen herkesin kendi kullanıcıları olduğundan emin olun – kullanıcılar arasında kullanıcı hesaplarını paylaşmayın;
Kabuk/SSH/uzak masaüstü erişimini açıkça ihtiyaç duyan kişilere sınırlayın.
4. Dosya bütünlüğünün izlenmesi (FIM) Dosya bütünlüğünün (FIM) izlenmesi, sistem yöneticilerinin dosyanın web sunucusunda ne zaman değiştiğini belirlemesine yardımcı olur. Bazı dosyalar genellikle normal bir web sunucusu işleminin bir parçası olarak değişse de, yönetici değişiklik yapmadıkça (örneğin wp-config.php dosyasını güncelleme) veya WordPress’in kendisini güncellemedikçe WordPress yüklemeleri gibi dosyalar değişmeyebilir.
Dosya bütünlüğünü izleme açısından kullanmayı seçebileceğiniz birçok seçenek olmasına rağmen, çalıştırdığınız uygulama için özel olarak, hazırlanması ve çalıştırılması kolay ve çok fazla ayar gerektirmeyen bir şey kullanmaya devam etmeniz önerilir. Değilse, anlamsız bildirimlere batacaksınız ve farkına varmadan önce, bir araya gelme çabalarınızı silerek yorgunluk görünecektir. Kısacası, en az değeri en az ek yük ile sağlayan çözümler bulmak yerine, FIM açısından daha iyi uyarılar ve özellikler daha iyi değildir. DDOS Azaltma Hizmetleri ve WAF kullanın Web sunucunuzu doğrudan İnternet’e maruz bırakmak yerine, kendinizi dağıtılmış Hizmet Reddi (DDO) saldırıları dahil olmak üzere çeşitli saldırılardan korumak için Cloudflare, Fızla, Akamai veya benzeri hizmetleri kullanmayı düşünmelisiniz. Hizmet Reddetme (DOS) saldırısı, saldırganın web sitesini taleple doldurmayı amaçladığı ve sonuç olarak web sunucunuzun meşru kullanıcılara hizmet vermesini engellediği bir saldırı türüdür. Hizmet azaltma reddine ek olarak, bu tür bulut hizmetleri genellikle temel SQL enjeksiyonu (SQLI) ve Basit Cross gibi birçok web uygulaması saldırısını durdurabilen web uygulaması güvenlik duvarının (WAF) kapasitesini de sunar. -Alan. Script (XSS). WAF, Web uygulamalarının güvenlik açığı için bir çözüm olmasa da, özellikle WordPress web sitesi için optimize edilmiş WAF kuralları ile sömürüye karşı koruma sunarlar.