☰

Насколько безопасно размещать HTTP-сервер Apache дома?

tag-icon • tag-icon ubuntu security apache-http-server port-forwarding webserver
Насколько безопасно размещать HTTP-сервер Apache дома?

У меня есть старый сервер с установленным Ubuntu server и Apache2. Я использую его для запуска небольшого одностраничного сайта. Я использую «freenoms» для бесплатного домена «musicmash.tk», который подключается к моему публичному IP. Маршрутизатор — это просто маршрутизатор ISP, который перенаправляет порт сервера на HTTP (который, как я думаю, 80). Меня не беспокоит, что кто-то может стереть сервер, а также получить доступ к остальной части сети (например, к общим ресурсам Samba). Стоит ли мне беспокоиться о безопасности? Есть ли что-то, что я могу легко сделать, чтобы повысить безопасность?

решение1

Если у вас перенаправлен только порт 80, вам не о чем беспокоиться, но это зависит от вашего веб-сервера. Например, если у вас есть веб-сайт с mysql, вам всегда следует использовать надежные пароли и устанавливать mod_security, поскольку существует множество методов SQL-инъекции, которые в случае успеха позволят злоумышленнику получить доступ к вашему серверу Ubuntu (я предполагаю, что он находится в локальной сети, так что это потенциальный риск). Также установите какой-нибудь брандмауэр, чтобы предотвратить брутфорс и отслеживать активность на сервере (доступ, изменение системных файлов и т. д.). В настоящее время я доволен csf/lfd, но он установлен на Centos, и я не уверен, как он работает на Ubuntu.

решение2

ИМХО, вам следует обратить особое внимание как минимум на следующие пункты:

  • будьте очень осторожны с обновлениями безопасности программного обеспечения, чтобы уязвимости исправлялись по мере их обнаружения, особенно в Apache и общедоступных веб-приложениях, которые вы можете запустить (блог, вики ...)
  • предпочитаю использовать нестандартные порты TCP, чтобы быть менее уязвимым для ботов
  • отключить пинг-ответы на модеме
  • будьте очень осторожны с умными скриптами, запущенными на вашем сервере (php, cgi, формы загрузки и т. д.), чем меньше, тем лучше, чем больше ограничений, тем лучше

Вы также можете настроить брандмауэр с набором правил белого списка, например, ограничить публичный исходящий трафик, который будет инициирован входящими tcp-запросами на вашем http-порту прослушивания, и входящий публичный трафик, ограниченный вашим http-портом назначения, запретить новые исходящие tcp-соединения. Использование armor или selinux также является хорошей идеей.

Связанный контент