Mi sto preparando per eseguire il mio primo server.
Userò ufw per disabilitare ogni porta tranne la porta 22 per ssh e la porta 80 per http .
Sono curioso però. Supponiamo teoricamente di aver lasciato ogni porta aperta tranne la porta ssh e la porta ftp . Senza ssh e ftp c'è qualche altro servizio o protocollo che permetta a un hacker di accedere al mio server? Supponiamo anche che il colpevole non abbia accesso fisico diretto al mio server.
Stai confondendo porte, servizi, vulnerabilità e exploit. Quindi ecco un'analogia basata su una casa. Hai una casa (server) in una strada. Quella casa ha tre porte (porti), che portano a luoghi diversi (servizi). Solo perché hai porte (porte), non significa che qualcuno sta per entrare e rubare i tuoi gioielli. Le porte vengono aperte perché è necessario che un servizio sia aperto per l'interconnessione tra un client e un server. Non tutti i servizi sono vulnerabili e anche quelli vulnerabili non sono sfruttabili.
Ad esempio, nell'analogia della casa, avere una porta è una vulnerabilità , tuttavia, avere una porta che porta a dire un'altra porta chiusa in un atrio rimuove la possibilità di sfruttare un ladro per ottenere i gioielli . Ci possono essere altri parametri: un ladro RINUNCIA alla porta, ma ora è intrappolato in un atrio e sta anche fissando un cane vizioso (honeypot, ambiente imprigionato). Ottieni l'immagine?
Se sei preoccupato per l'esecuzione di un server web, dedica del tempo a esaminare le versioni del software che utilizzerai, quindi cerca gli exploit e / o le vulnerabilità al NIST utilizzando un Cerca di ricerca . Altrimenti l'approccio che stai prendendo è sbagliato. Solo perché hai una casa con Windows, non significa che qualcuno sta per, o può romperli, portando via le chiavi del regno come Ocean's Eleven
Dovresti verificare la sicurezza dei servizi in esecuzione sulle porte per avere un'idea di quanto sei sfruttabile. Anche in questo caso, il tuo tipico scanner di vulnerabilità fornirà suggerimenti solo in base a quali versioni di quali servizi potresti essere in esecuzione. La vettorizzazione è qualcosa che può essere controllato, ma in generale è meglio lasciare ai professionisti in questi giorni.
A seconda di ciò che il server sta per fare, ci sono un certo numero di aziende là fuori che forniscono audit a vari livelli di costo. Se non sei ancora un progetto commerciale, Nessus ha un'edizione community che ti consente di andare sul percorso automatico.
Un ragionevole amministratore di sistema si assume che sia sempre compromesso e si avvicina alla loro sicurezza in base a tale assunto.
Leggi altre domande sui tag server access-control