Astuces de base pour sécuriser un serveur Linux

Posté par  (site web personnel) . Modéré par Fabien Penso.
Étiquettes :
0
21
mai
2002
Sécurité
George Rushmore sur le site de Help Net Security, nous propose un article qui donne quelques conseils de base pour sécuriser un serveur Apache sous Linux.

« Si vous venez de mettre un serveur web Apache en ligne, et que vous pensez à la sécurité, ce bref article pourra vous y aider.
Par le fait d'avoir votre propre serveur, vous devez comprendre les responsabilités qui en découlent.

Bien que le serveur lui même ne soit pas un réel problème (du point de vue de la sécurité), il y a certaines choses auxquelles vous devez faire attention sur votre système. »

NdR: cela ne se veut pas un article de fond, mais les conseils qu'on y trouve sont toujours bon à prendre ou à revoir.

Aller plus loin

  • # Comme le dit le titre...

    Posté par  (site web personnel) . Évalué à 10.

    Il est vrai que se rappeler ce genre de chose est essentiel... mais qui dit serveur dit forcément administration... et qui dit administration dit ce qui est indiqué dans cet article.

    Je conseille donc ce dernier en priorité à ceux qui se renseigneraient sur les contraintes de la possession d'un serveur...
    Pour les autres (comme moi), j'espère qu'ils connaissent déjà son contenu (chose qu'il est bon de vérifier). Car je n'ai pas appris grand'chose, même si je ne me considère pas comme un administrateur modèle...

    Happy Administration... ou devrais-je dire Haapy GNU/Linux ? ;c)

  • # complément

    Posté par  . Évalué à 10.

    ILik3-PeN_gu1nS --> putain, ils ont trouvé mon mot-de-passe (bon, c'était juste une connerie) !

    Juste pour dire que pour tous ceux qui intègrent une base de donnée MySQL et/ou un interpréteur PHP (ce qui est en général utilisé avec une serveur de type Apache), vous pouvez trouver des compéments d'information sur la sécurisation sur le site de lea-linux.
    Pour le PHP, penser également à activer le safe-mode qui vous protegera contre bien des attaques.

    http://lea-linux.org/reseau/Apache_protec.php3(...)

  • # To tell you the truth, it is not as powerful, but it is usable

    Posté par  . Évalué à 10.

    Hmmm...

    Il vérifie chaque jour la liste des rpm en plaçant un script dans le cron.

    Alors là je dis stop !

    1) les rpms ne sont pas la seule façon d'installer des programmes, et je ne crois pas qu'il y ait beaucoup de pirates qui les installent comme ça.

    2) un "bon" pirate ira toujours vérifier le cron.

    Franchement, je ne crois pas que ce soit une bonne idée de penser rassurer les débutants avec des choses comme ça. Le débutant va se compliquer la vie et se croire en sécurité, alors qu'en face le rootkiter aura des softs très performants pour ne pas se faire repérer, et surement plus d'expertise ...

    • [^] # Re: To tell you the truth, it is not as powerful, but it is usable

      Posté par  (site web personnel) . Évalué à 10.

      En fait il ne vérifie pas vraiment la liste des RPMs mais il vérifie si des fichiers ont été modifiés par rapport à ceux contenus dans les RPMs d'origine.

      Chaque fichier dans un package RPM est "checksummé" et la checksum est stockée, en local, sur le PC de l'utilisateur dans une base.

      Effectivement, le test qui est effectué là est très peu sûr puisqu'il suffirait de modifier la checksum du fichier correspondant dans la base pour qu'on ne s'aperçoive pas qu'il y a eu une manipulation frauduleuse.

      Si par contre, on compare avec les packages originaux qui seraient, par ex, sur un CD-ROM ou tout autre support read-only, là, le test peut effectivement être intéressant.

      Par contre cela ne révélera pas la présence d'un nouveau programme parasite (qui ne viendrait pas, par ex, d'un RPM de la distro originale).

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.