Tenho um servidor antigo com servidor Ubuntu e Apache2 instalados. Estou usando-o para administrar um pequeno site de uma página. Estou usando 'freenoms' para o domínio gratuito 'musicmash.tk' que está se conectando ao meu IP público. O roteador é apenas um ISP simples que encaminha a porta do servidor para HTTP (que eu acho que é 80). Não estou preocupado se alguém conseguir limpar o servidor, mas sim obter acesso ao resto da rede (como compartilhamentos do Samba). Devo me preocupar com segurança? Há algo que eu possa fazer facilmente para aumentar a segurança?
Responder1
Se você encaminhou apenas a porta 80, não deve se preocupar muito, mas isso depende do seu servidor web. Por exemplo, se você tiver websait com mysql, você deve sempre usar senhas fortes e instalar mod_security porque existem muitos métodos de injeção de sql que, se tiverem sucesso, o invasor obterá acesso ao seu servidor Ubuntu (presumo que esteja na rede local, então este é um risco potencial). Instale também algum firewall para evitar força bruta e monitorar a atividade no servidor (acesso, alterações nos arquivos do sistema, etc.). Atualmente estou satisfeito com o csf/lfd, mas isso está no centos e não tenho certeza de como funciona no Ubuntu.
Responder2
IMHO, você deve prestar muita atenção a esses pontos, pelo menos:
- tenha muito cuidado com as atualizações de segurança do software para que as vulnerabilidades sejam corrigidas à medida que são descobertas, especialmente em torno do Apache e de aplicativos da web públicos nos quais você pode executar (blog, wiki ...)
- prefira usar portas TCP não padrão para ser um pouco menos alvo de bots
- desative as respostas de ping no seu modem
- tenha muito cuidado com scripts inteligentes rodando em seu servidor (php, cgi, formulários de upload, etc), quanto menor melhor, mais restritivos melhor
Você também pode configurar um firewall com regras de lista branca definidas, como limitar o tráfego de saída pública a ser iniciado por solicitações tcp de entrada em sua porta de escuta http e tráfego público de entrada limitado à sua porta de destino http, negar novas conexões tcp de saída. Usar armadura ou selinux também é uma boa ideia.