نیازمند به کانفیگ امنیتی اصولی سرور اختصاصیم

[MWDT]

با سلام خدمت تمامی اساتید،مدیران محترم و علی الخصوص کاربران عزیز انجمن وب هاستینگ تاک،از تمامی این عزیزان خواهشمندم هر گونه پیشنهاد،راهنمایی،ارائه ی آفر کانفیگ امنیتی خود همراه با

تضمین و تعرفه اش را در همین تاپیک مطرح نموده که مشکل اساسی و ضروری این جانب حل شود:

خب من یک سرور اختصاصی دارم که حدود 11 روز هست که تهیه کردم و از کنترل پنل cPanel استفاده میکنم و کارمون میزبانی چت روم هایی هستش که خودمون طراحی میکنیم و رمز هاست نیز به

هیچ یک از مشتریان تحویل داده نمیشه و فقط 1 عدد هاست از طریق پرتال کاربرانمون یعنی WHMCS خریداری شده که اون هم مشتریم رو خوب میشناسم و از بابتش اعتماد کافی رو دارم و بقیه هاست

هایی که ساخته شده متعلق به خودمون هستش و در کل من و همکارم به سرور دسترسی داریم،حالا مشکل اساسیمون اینه که جدیدا راحت به سرورمون روت میشن-سیم لینک میزنن و شل ها در

سرور به راحتی اجرا میشن،هاست سایت اصلیمون و همینطور بقیه هاست ها بهشون نفوذ شده و در cPanel در قسمتی که اخرین آی پی وارد شده رو ثبت میکنه آی پی دیگری به جز آی پی خودمون

ثبت شده که نشون میده آی پی چیز شکن بوده و وارد شده و به راحتی به تمامی هاست ها دسترسی دارند همینطور در سایت اصلیمون نیز یک فایل html آپلود کرده بودند به اسم alfa که وقتی ادرسش

رو دادم دیدم صفحه ی دیفیس یود و حذفش کردم،همچنین دیتابیس تمامی سایت هامون رو در تیبل هایشان توانسته اند ویرایش انجام بدن.اینم بگم که روی سرور قبلیمون که مجازی بود ورژن php ما

5.3.27بود و safe_mode رو نیز فعال کرده بودیم که شل ها اجرا نمیشدند و این نفوذ ها نیز انجام نشده بودند اما الان از هر جهت داریم ضربه میخوریم و مشتریان دیگر خیلی اذیت میشن،یک مختصری هم

توضیح میدم در مورد کانفیگ سرورمون که جناب nginxweb عزیز زحمتش رو کشیدن مخصوص چت روم برامون انجام دادند و از لحاظ کانفیگ راضی بودیم و موردی نداشتیم و اگر هم موردی بوده حل کردند

برامون اما در مورد امنیت،سرور اصلا امنیت نداره و ورژن php نیز الان 5.4.24 هستش و safe_mode نیز غیر فعال هست.روی سرور فایروال نیز داریم که جناب nginxweb گفتن روی 400 کانکشن تنظیم

شده که آی پی ها رو زیر 400 کانکشن بلوک نکنه اما مواردی پیش اومده که کاربران چت روم ها گفتن سایت براشون باز نمیشه و server not found میده و من هم نگاه کردم دیدم فایروال سرور آی پیش

رو بلوک کرده و به ناچار فایروال رو در حالت خاموش قرار دادم و همچنین روی سرور آنتی شل LMD نیز نصب کردن برامون که روی سرور قبلی ما با همین میزان تعداد چت روم ها این آنتی شل اسکن رو

وقتی شروع میکرد نهایت تا 3 ساعت تموم میکرد اما الان اسکنش از صبح تا شب تموم نمیشه و در این بازه ی زمانی سایت هامون بعضی مواقع که ادرس رو میزنیم تا باز کنن سرچ مرورگر همونطوری

سرچ میکنه و در اخر ارور 500 میده و چیزی نمیاره و بلافاصه که اف 5 میزنیم سایت سریع بالا میاد که این هم متوجه شدم از اسکن آنتی شل هستش چون در مواقعی که اسکن در حال پردازش نیست

سایت ها اصلا ارور 500 نمیدن و به همین خاطر این آنتی شل رو هم cron job رو براش حذف کردیم که وقتی خودمون بزنیم شروع به اسکن کنه.از تمامی اساتید و کاربران و مدیران عزیز و کسانی که

میتوانند تست کنن نقاط ضعف ما رو لطفا اطلاع بدند تا اول نقاط ضعف رو بدونیم و با توجه به آفر های این عزیزان موارد مورد نظر رو لحاظ کنیم توسط خودشان و اینم بگم که کانفیگی که جناب nginxweb

عزیز برامون مخصوص میزبانی چت روم ارائه دادند بسیار مناسب هستش و ما نمیخوام که با کانفیگ امنیتی این کانفیگ چت روم ها بهم بخوره و سرور نتونه چت روم ها رو تحمل کنه و مشکل افت

سرعت و این چنین موارد داشته باشیم اینم بگم که برنامه نویس های گروهمون بسیار ماهر هستند و باگی چیزی برای نفوذ از اسکریپت چت روم ها به سمت هاست ها وجود نداره اما الان ممکن هست

که فایل ها آلوده شده باشند و همچنین تنها چیزی که برای ما مهمه تضمین شما عزیزان هستش که بعد از انجام کار های لازم تضمین میخوایم که دیگر این مشکلات برامون پیش نیاد و همینطور سرور نیز

سنگین نشه و کیفیت سایت ها نیاد پایین،امروز تمامی اکانت ها رو مسدود کردم و الان منتظر پست های شما اساتید و مدیران و کاربران محترم انجمن هستم

[nginxweb]

درود
دوست گرامی در بخش آموزشی تاپیک زدید و کسی نمیوته آفر بده خدمتتون

[MWDT]

درود
دوست گرامی در بخش آموزشی تاپیک زدید و کسی نمیوته آفر بده خدمتتون
با تشکر از اطلاع سریع شما به اینجانب،لطف میکنید بفرمایید در کدام قسمت انجمن این تاپیک رو از دوباره بزنم؟

[Yas-Host]

دوست عزیز سرور شما نیاز به بررسی و تست نفوذ دارد.

اینجوری که شما میفرمایید symlink راحت در php و وب سرور باز می باشد و هکر به راحتی به فایل ها و هاست های دیگر دسترسی دارد.

همچنین اجرای کامند ها باز بوده که توانسته یک یوزر با اکسس کافی به دیگر هاست ها ساخته باشد.

شما یک تست نفوذ از روش symlink بزنید و تست کنید(بای پس های مختلف رو تست بفرمایید)

همچنین بنده شخصا به کانفیگ جناب nginxweb اطمینان کافی رو دارم فکر نمیکنم از سمت ایشون بوده است.

شما فایروال رو اف کردید / lmd رو غیرفعال کردید / دست کاری های زیادی انجام دادید پس از سمت خود شما بوده است.

موفق باشید.

[MWDT]

دوست عزیز سرور شما نیاز به بررسی و تست نفوذ دارد.

اینجوری که شما میفرمایید symlink راحت در php و وب سرور باز می باشد و هکر به راحتی به فایل ها و هاست های دیگر دسترسی دارد.

همچنین اجرای کامند ها باز بوده که توانسته یک یوزر با اکسس کافی به دیگر هاست ها ساخته باشد.

شما یک تست نفوذ از روش symlink بزنید و تست کنید(بای پس های مختلف رو تست بفرمایید)

همچنین بنده شخصا به کانفیگ جناب nginxweb اطمینان کافی رو دارم فکر نمیکنم از سمت ایشون بوده است.

شما فایروال رو اف کردید / lmd رو غیرفعال کردید / دست کاری های زیادی انجام دادید پس از سمت خود شما بوده است.

موفق باشید.
جناب بنده نفرمودم که nginxweb عزیز کانفیگشون صحبح نبوده،من از ایشون رضایت کامل رو دارم و همینطور lmd نیز آف نشده فقط خودکار اسکن نمیکنه یعنی طبق بازه ی زمانی و هر وقت دستور لازمه رو میزنم میتونه اسکن رو شروع کنه.اما در مورد فرمایش شما خب من اطلاعات کافی در این زمینه رو ندارم. راه کار شما چییست عزیز؟

[pardishosting]

دوست عزیز ... الان طوری شده که هر چه قدر سرور رو خوب کانفیگ امنیتی می کنیم ، نرم افزار نصب می کنیم بازم هم می بینیم هکرها به انواع و طرق محتلف دارند سعی می کنند وارد سرور بشند .
خیلی پیچیده و سخت شده ، این وضیعت ماست که میزبانیم ، شما که بدون نرم افزار می خوای کار کنی جای خود دارید.

[nginxweb]

درود بر شما

دوست گرامی با کانفیگ ویزه امنیتی مشکل شما حل میگردد
در کانفیگ نرمال امنیت در حد نرمال اعمال میگردد
اما مشتریانی که سرور حساس دارند و سایت های حساس و یا سایت هایی که دائم مشکل امنیتی دارند را میزبانی میکنند و نیاز به security بالاتر دارند نیاز به کانفیگ امنیتی تخصصی و ویزه دارند که مسلما متفاوت هستش با خود کانفیگ سرویس های سرور.
خوشحالیم که از کار ما رضایت داشتید
اما توجه کنید که همیشه کانفیگ های ویزه امنیتی جدا هستند چون به تنهایی خودشان وقت زیادی میگیرند و موارد زیادی اعم از اعمال محدودیت های ویژه روی:
php
perl
cgi
python
kernel
و همچنین premission بندی صحیح فایلهای سیستمی و تنظیم ownership های خاص و همینطور اضافه کرده Owner group های خاص برای اسکریپت های خطرناک و... که همگی در کانفیگ ویژه امنیتی اعمال خواهد شد

موفق باشید

[MWDT]

دوست عزیز ... الان طوری شده که هر چه قدر سرور رو خوب کانفیگ امنیتی می کنیم ، نرم افزار نصب می کنیم بازم هم می بینیم هکرها به انواع و طرق محتلف دارند سعی می کنند وارد سرور بشند .
خیلی پیچیده و سخت شده ، این وضیعت ماست که میزبانیم ، شما که بدون نرم افزار می خوای کار کنی جای خود دارید.
خب عزیز من هم همین تاپیک رو بر پا کردم که شما اساتید بهترین و مناسب ترین راه کار ها رو برای من پیشنهاد بدید که توسط خود شماها انجامش بدیم و از این مشکل رهایی پیدا کنیم دقیقا همانند گروه های بزرگ طراحی چت روم که مدتی است امنیت سرور هایشان رفته بالا و اگر هر نفوذی یا باگی باشه از اسکریپت هستش که خودشون سریع حلش میکنن

[pardishosting]

برای امنیت هزینه می کنید ؟ نرم افزار cxs رو سفارش بدید.
+ یک سری کانفیگ های امنیتی مهم که حتما باید اجرا بشه ، یعنی حتی اگر هکر ها پسورد سرورتون رو داشتند نتونند وارد بشند .

[MWDT]

درود بر شما

دوست گرامی با کانفیگ ویزه امنیتی مشکل شما حل میگردد
در کانفیگ نرمال امنیت در حد نرمال اعمال میگردد
اما مشتریانی که سرور حساس دارند و سایت های حساس و یا سایت هایی که دائم مشکل امنیتی دارند را میزبانی میکنند و نیاز به security بالاتر دارند نیاز به کانفیگ امنیتی تخصصی و ویزه دارند که مسلما متفاوت هستش با خود کانفیگ سرویس های سرور.
خوشحالیم که از کار ما رضایت داشتید
اما توجه کنید که همیشه کانفیگ های ویزه امنیتی جدا هستند چون به تنهایی خودشان وقت زیادی میگیرند و موارد زیادی اعم از اعمال محدودیت های ویژه روی:
Php
perl
cgi
python
kernel
و همچنین premission بندی صحیح فایلهای سیستمی و تنظیم ownership های خاص و همینطور اضافه کرده owner group های خاص برای اسکریپت های خطرناک و... که همگی در کانفیگ ویژه امنیتی اعمال خواهد شد

موفق باشید
ممنون جناب محمد زاده عزیز اما یک بار که در مورد این کانفیگ امنیتی با شما به صورت تلفنی صحبت کردم ذکر کردید که کیفیت میاد پایین و این باعث شد که ما از این کانفیگ ویژه عقب نشینی کنیم،از یک طرف هم آنتی شل lmd که روی سرور قبلی نهایت 3 ساعت طول میکشید همین تعداد فایل و اکانت رو بررسی کنه و توی این 3 ساعت سایت هامون اصلا افت سرعتی نداشتند و هیچوقت هم ارور 500 نمیدادن اما روی این سرور که هم چند برابر قوی هستش و هم اعتماد زیادی بر کانفیگ شما داریم که درست انجام شده آنتی شل از صبح تا شب اسکن میکنه و در این مدت زمان همش سایت ها با ارور 500 مواجه میشند هنگ میکنند داخل چت روم ها و تمامی مشتریان ناراضی هستند از این وضعیت که من آنتی شل رو وقتی از زمان بندی در آوردم این مورد حل شده و گزارشی از ارور 500 نداشتیم.این آنتی شل هم باعث شد که دیگه من فکر کنم اگه امنیت بخواد خیلی از الانش بالا بره خب به احتمال زیاد سایت هامون کلی افت سرعت و هنگ خواهند داشت،لطف کنید در این مورد امنیت ما تمامی اطلاعاتتون رو ارائه بدید و بگید که دقیقا چه افت کیفیتی خواهیم داشت و چه مضرراتی خواهیم داشت برای چت روم ها از نظر سرعت و کیفیتشان؟

[MWDT]

برای امنیت هزینه می کنید ؟ نرم افزار cxs رو سفارش بدید.
+ یک سری کانفیگ های امنیتی مهم که حتما باید اجرا بشه ، یعنی حتی اگر هکر ها پسورد سرورتون رو داشتند نتونند وارد بشند .
بله عزیز،خب نرم افزار cxs جلوی چه مقادیری رو میگیره؟لطفا توضیح دهید در موردش و مقادیری که مانع آن ها خواهد شد را تک تک بگید و لایسنس لایف تایمش و همینطور کانفیگ های امنیتی که ذکر کردید رو لطفاً بفرمایید و بگید که چه چیز هایی را جلوگیری میکند؟

[Yas-Host]

بله عزیز،خب نرم افزار cxs جلوی چه مقادیری رو میگیره؟لطفا توضیح دهید در موردش و مقادیری که مانع آن ها خواهد شد را تک تک بگید و لایسنس لایف تایمش و همینطور کانفیگ های امنیتی که ذکر کردید رو لطفاً بفرمایید و بگید که چه چیز هایی را جلوگیری میکند؟

اینجوری که شما گفتید و اینجور کرون جاب سرور شمارو اشغال میکند پس cxs هم افت سرعت را به همراه خواهد داشت.

کنترل پنل خودتون رو اعلام کنید + وب سرور رو تا سوالات و راهنمایی های بعدی را خدمتتون اعلام کنم.

[4danlod]

دوست عزیز همان طور که nginxweb هم گفتند باید خیلی موارد بررسی شود از جمله اینکه شما که میگید سرور قبلی با اینکه از این ضعیف تر بود lmd سریع تر کار می کرد یکی از مواردی که باید بررسی شود.

دومین مورد جلوگیری از اجرای shell script های من جمله :

python

perl

bash

و php است که باید روی وب سرور به صورت صحیح کانفیگ شود .

مورد بعدی دسترسی های است که فایل ها و فولدر های چه دسترسی هایی دارند .

یکی از سخترین موارد که بهتون پیشنهاد می شه enable کردن selinux در صورتی که غیر فعال است و Target بندی آن است .

مود هایی وب سرور برای امنیت که میتونید استفاده کنید زیاده که این بر می گرده به اینکه وب سرورتون چی است .

در ضمن توجه داشته باشید که اگر بتونید iptables را خوب کانفیگ کنید و پورت های حساس را برای آی پی های خاصی باز کنید هیچ موقع به راحتی shell نمی خورید حتی دسترسی به Root .

[MWDT]

اینجوری که شما گفتید و اینجور کرون جاب سرور شمارو اشغال میکند پس cxs هم افت سرعت را به همراه خواهد داشت.

کنترل پنل خودتون رو اعلام کنید + وب سرور رو تا سوالات و راهنمایی های بعدی را خدمتتون اعلام کنم.
کنترل پنل cPanel هستش و وب سرور آپاچی+nginx هستش

[MWDT]

دوست عزیز همان طور که nginxweb هم گفتند باید خیلی موارد بررسی شود از جمله اینکه شما که میگید سرور قبلی با اینکه از این ضعیف تر بود lmd سریع تر کار می کرد یکی از مواردی که باید بررسی شود.

دومین مورد جلوگیری از اجرای shell script های من جمله :

python

perl

bash

و php است که باید روی وب سرور به صورت صحیح کانفیگ شود .

مورد بعدی دسترسی های است که فایل ها و فولدر های چه دسترسی هایی دارند .

یکی از سخترین موارد که بهتون پیشنهاد می شه enable کردن selinux در صورتی که غیر فعال است و Target بندی آن است .

مود هایی وب سرور برای امنیت که میتونید استفاده کنید زیاده که این بر می گرده به اینکه وب سرورتون چی است .

در ضمن توجه داشته باشید که اگر بتونید iptables را خوب کانفیگ کنید و پورت های حساس را برای آی پی های خاصی باز کنید هیچ موقع به راحتی shell نمی خورید حتی دسترسی به Root .
ممنون بابت اطلاعاتی که دادید،چه تضمینی برای همین کانفیگی که گفتید وجود دارد و کیفیت و سرعت سرور بعد از کانفیگ چگونه خواهد بود؟لطفاً توضیح دهید،الان تمامی سایت هام رو ساسپند کردم و امیدم فقط و فقط به همین تاپیک هستش و از همه مهم تر به شماها و همین اساتیدی که اینجا پست دادند

[MWDT]

دوست عزیز همان طور که nginxweb هم گفتند باید خیلی موارد بررسی شود از جمله اینکه شما که میگید سرور قبلی با اینکه از این ضعیف تر بود lmd سریع تر کار می کرد یکی از مواردی که باید بررسی شود.

دومین مورد جلوگیری از اجرای shell script های من جمله :

python

perl

bash

و php است که باید روی وب سرور به صورت صحیح کانفیگ شود .

مورد بعدی دسترسی های است که فایل ها و فولدر های چه دسترسی هایی دارند .

یکی از سخترین موارد که بهتون پیشنهاد می شه enable کردن selinux در صورتی که غیر فعال است و Target بندی آن است .

مود هایی وب سرور برای امنیت که میتونید استفاده کنید زیاده که این بر می گرده به اینکه وب سرورتون چی است .

در ضمن توجه داشته باشید که اگر بتونید iptables را خوب کانفیگ کنید و پورت های حساس را برای آی پی های خاصی باز کنید هیچ موقع به راحتی shell نمی خورید حتی دسترسی به Root .
ممنون بابت اطلاعاتی که دادید،چه تضمینی برای همین کانفیگی که گفتید وجود دارد و کیفیت و سرعت سرور بعد از کانفیگ چگونه خواهد بود؟لطفاً توضیح دهید،الان تمامی سایت هام رو ساسپند کردم و امیدم فقط و فقط به همین تاپیک هستش و از همه مهم تر به شماها و همین اساتیدی که اینجا پست دادند

[Yas-Host]

کنترل پنل cPanel هستش و وب سرور آپاچی+nginx هستش


موارد زیر رو انجام بدید:

1- کامپایل php بر روی ورژن 5.3.27
2- بستن و جلوگیری از اجرا شدن perl / cgi در وب سرور و php
3- نصب و کانفیگ بهینه csf /lmd/iptables
4- جلوگیری و بستن تابع های خطرناک در php.ini
5- محدود سازی فایل های نظیر /usr/bin/perl و /bin/ls برای جلوگیری از اجرای آنها توسط کاربر
6- کامپایل php بر روی suphp و بستن php.ini سفارشی برای کاربر
7- استفاده از وب سرور لایت اسپید برای بهینه تر کردن سرور در سرعت و امنیت بیشتر(با پیشنهاد جناب nginxweb)
8- نصب و خریداری لایسنس CXS
9- کانفیگ و انجام تنظیمات امنیتی در whm
10- نصب و کانفیگ clmv
11- ایمن سازی tmp
12- محدود سازی دسترسی روت سرور به یوزر ها از طریق whm
13- استفاده از لایسنس و whmcs ایمن شده و بدون باگ
14- متصل نکردن whmcs به whm
15- و ....

فعلا همینا به ذهنم میرسه....

موفق باشید.

[4danlod]

منم چند مورد ذکر میکنم :

1 - نصب mod_security و Mod_evasive

2 - بررسی تمامی ownership ها و permission ها

3 - ایمن سازی /tmp ( دلیل تکرارش مهم بودنش است )

4 - فعال سازی safe_mode

5 - بستن پورت های مهم مثل 23 - 22 - 21 بر روی همه آی پی ها به غیر از آی پی های خاص .

6 - استفاده از varnish cache برای سرعت بیشتر

7 - محدود کردن دسترسی به ایران به دلیل اینکه چت سرور است و بیشتر از داخل ایران هستند ( نظر نهایی با خودتونه )

اطلاعات و کانفیگ سرور قدیمی و جدید را میتونید اینجا بزارید ببینیم چه مواردی فرق کرده است .

در آخر امنیت 100 درصد نیست برای امنیت بیشتر باید تلاش کرد...