Элементы безопасности Web серверов. Контрольный список проверки безопасности.

1. Элементы
безопасности Web
серверов
МИХАИЛ КРОЙТОР, МОЛДГУ, 2018

2. Содержание
Возможные проблемы безопасности
Физическая безопасность
Безопасность операционной системы
Безопасность сети
Политики для пользователей
Аудит безопасности
Контрольный список проверки безопасности

3. Возможные проблемы безопасности
Свободный доступ к серверу
Постоянное изменение конфигурации внутренней сети
Неправильные политики пользователей сервера
Нелицензионное программное обеспечение / ошибки программного обеспечения

4. Физическая безопасность
Для любого сервера должен быть ограничен физический доступ к нему.

5. Безопасность операционной системы
Своевременное обновление системы
Шифрование файловой системы
Ограничение доступа к важным объектам Web сервера (файлы .htaccess)

6. Безопасность сети
Включить шифрование передаваемых данных (SSL)
Закрыть все неиспользуемые порты
◦ ufw – простой файервол, программное средство контроля доступа сети.
◦ sudo ufw allow https
Отключить / подменить «баннеры» приложений
◦ Для Apache HTTP Server
◦ ServerTokens Prod
◦ Server Signature Off
◦ PHP
◦ expose_php=Off
◦ disable_functions exec, system, passthru, proc_open, shell_exec
Анализировать и блокировать подозрительную деятельность
◦ fail2ban – сервис (демон), анализирующий журналы операционной системы и блокирующий попытки
подбора паролей или несанкционированного доступа.

7. Политики для пользователей
Ограничить количество пользователей
◦ Большое количество пользователей затрудняет контроль безопасности, особенно если эти
пользователи имеют права администратора
Ограничить права пользователей
◦ Большинству пользователей не нужна работа с операционной системой, поэтому их необходимо
ограничить
Каждому сервису свой пользователь

8. Аудит безопасности
Одно из требований обеспечения безопасности информационных систем – регулярный
аудит безопасности, то есть проверка информационной системы на наличие уязвимостей.
◦ netstat – средство мониторинга входящих и исходящих соединений.
◦ nmap – популярный сетевой сканер.
◦ Acunetix Web Vulnerability Scanner – платное приложение с web интерфейсом для сканирования
хоста на уязвимости.
◦ ZAProxy – приложение с открытым исходным кодом для сканирования хоста на уязвимости.

9. Контрольный список проверки
безопасности I
Физическая безопасность
Шифрование файловой системы
Обновление операционной системы
Корректная настройка сетевого доступа
Шифрование передаваемых данных
Сложные пароли
Ограничение доступа пользователей

10. Контрольный список проверки
безопасности II
Изоляция ролей и сервисов
Резервное копирование
Политика настроек безопасности баз данных
Политика настроек безопасности Web сервера
Журналирование и мониторинг

11. Спасибо за внимание!
ВОПРОСЫ?