Обновить

Настройка безопасности сайтов на VPS/VDS

Информационная безопасностьРазработка веб-сайтовPHP
Вы приобрели выделенный или виртуальный сервер, либо слепили свой в домашних условиях. И теперь пришло время задуматься о безопасности сайтов, так как брешь в одном из них может подвергнуть опасности и все остальные.

На хостинге эти проблемы решает сам хостер, а вот на собственном сервере это уже задача администратора. И даже если у Вас хостинг с предустановкой, то вероятность того, что на нем ограничены права для каждого пользователя и сайта маловероятна. Скорее всего Ваш провайдер ограничился установкой стандартных приложений vsftpd, Apache, nginx, php, mysql и тд и тп.

Будем считать, что необходимый комплект на сайте установлен и пришло время позаботиться о безопасности. Если же нет, то находим подходящую инструкцию по «настройке nginx в качестве front-end к apache» и возвращаемся к вопросу безопасности.

Безопасность будем строить из следующих принципов:

Первое это создание пользователей с оболочкой /bin/false на примере vsftpd и proftpd. Это ограничит выполнение скриптов в пределах собственной директории.

Второе разделение пользователей на сайте. Мы сможем запускать наши сайты от имени разных юзеров, и доступ к одному из них, никоим образом не подвергнет опасности другой.

Также я укажу на несколько других известных мне моментов безопасности, если я что-то упустил, то буду рад дополнить статью. А так как единой статьи указывающей на все необходимые моменты безопасности на просторах интернета я не нашел, то думаю статья будет достаточно полезной.

По сути данную памятку я писал для себя исходя из уже существующего и работающего сервера, как завершающий этап установки, так что статья подойдет и для тех, кто только устанавливает сервер, так и для тех, кто хочет его обезопасить и немного ускорить php-интерпретатор, так как этой темы тоже придется коснуться.



Начнем с настройки proftpd. Для этого откроем конфигурационный файл ProFTPd /etc/proftpd/proftpd.conf

#запрем пользователя в своей домашней директории.
DefaultRoot ~ 
# запрещаем подключать от пользователя root
RootLogin off 
#отключим проверку на shell
RequireValidShell	off 
#ограничим количество одновременных подключений
MaxInstances 10
#ограничим количество попыток для аутентификации
MaxLoginAttempts 5


Перезагружаем proftpd.

Теперь рассмотрим пример на vsftpd. Конфигурационный файл vsftpd /etc/vsftpd.conf

#разрешить авторизацию локальных пользователей
local_enable=YES
#разрешить загрузку файлов
write_enable=YES
#запрем пользователя в своей домашней директории.
chroot_local_user=YES
#права доступа к файлам
local_umask=022


В файле /etc/shells добавим оболочку

/bin/false


В папке /etc/skel пропишем необходимые файлы и папки с соответствующими атрибутами, которые будут создаваться в папке пользователя. Для себя я как минимум устанавливаю папку для сайта (public_html), и папку для хранения временных файлов (tmp). Думаю этого для начала будет достаточно.

Перезагружаем vsftpd.

Добавлять пользователя будем с оболочкой /bin/false, и ключом -m для создания домашней директории одновременно при добавлении пользователя, и сразу запретим запись в корневую директорию, так как все необходимые директории и файлы у нас прописаны выше в /etc/skel

useradd -m -s /bin/false login
passwd login
chmod 555 /home/login


Разделение пользователей и установка fast-cgi



Для разделения пользователей существует как минимум 2 реализации: suexec и apache2-mpm-itk. Для работы через suexec потребуется запускать php приложение для каждого пользователя отдельно, в отличии от аpache2-mpm-itk, который запускается через mod_php один раз для всех процессов. Тем не менее я упущу настройку аpache2-mpm-itk, так как запуск одного процесса не дает достаточной гибкости, и в частности запуска отдельного php.ini, а потерю производительности можно компенсировать использованием Fast-CGI. Конечно, той скорости, дает php_mod получить не удастся, но зато удастся сэкономить ресурсы системы.

Для начала установим необходимые модули. Предполагается, что сервер у Вас уже установлен и настроен.

На примере Ubuntu

aptitude install apache2-suexec libapache2-mod-fcgid php5-cgi 


Если Apache2 был установлен с PHP5 в виде модуля Apache, отключаем его:

a2dismod php5 


Включим следующие модули, если не включены

a2enmod rewrite
a2enmod suexec
a2enmod include
a2enmod fcgid


Сценарий для выполнения PHP, размещается в коревой директории Suexec, которой по умолчанию является /var/www, тем не менее проверить это поможет следующая команда

/usr/lib/apache2/suexec -V 


В ней создадим директорию fcgi, где и будут храниться наши сценарии и настройки php для каждого пользователя и определим вложенную папку непосредственно для владельца

mkdir -p /var/www/fcgi/login 


Внутни созданим файл php5, где пропишем сценарий для выполнения php

chown login:login /var/www/fcgi/login/php5 


В /var/www/fcgi/login/php5 добавим запись

#!/bin/sh 
PHPRC=/var/www/fcgi/login/php.ini 
export PHPRC 
export PHP_FCGI_MAX_REQUESTS=5000 
export PHP_FCGI_CHILDREN=8 
exec /usr/lib/cgi-bin/php 


Линия PHPRC содержит каталог, где находится файл php.ini (например, /var/www/fcgi/login/ переводится в /var/www/fcgi/login/php.ini). PHP_FCGI_MAX_REQUESTS отвечает за количество запросов, которые обработает один процесс. PHP_FCGI_CHILDREN указывает количество дочерних процессов, запускаемых PHP для обработки входящих запросов. php5 должен быть исполняемым, и он (и его каталоги) должны принадлежать пользователю веб-сайта и группы.

Теперь перенесем дефолтовый файл php.ini из дефолтовой директории /etc/php5/cgi/ в нашу /var/www/fcgi/login/php5, и настроим основные параметры. Для каждого сайта они будут индивидуальные, но на основные следует сразу обратить внимание

;Обеспечивает поддержку правильных PATH_INFO/PATH_TRANSLATED в CGI
cgi.fix_pathinfo=1
;Разрешим использование коротких тегов <? ?>
short_open_tag = on
;Ограничим пользователя его домашним каталогом
open_basedir = /home/login/docs
;Ограничим функции, что в первую очередь относится к функциям exec, которые в нашем случае вреда не принесут. Тем не менее лишнии функции желательно отключить
disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_getpriority,pcntl_setpriority,pcntl_exec,exec,passthru,shell_exec,system,proc_open,popen,curl_multi_exec,parse_ini_file,show_source,highlight_file,etc
;Отключим глобальные переменные
register_globals = Off
;Отключаем регистрацию устаревших переменных
register_long_arrays = Off
;Устанавливает максимально допустимый размер данных, отправляемых методом POST
post_max_size = 8M
;Временная директория, используемая для хранения файлов во время закачивания
upload_tmp_dir = /home/login/tmp
;Максимальный размер закачиваемого файла    
upload_max_filesize = 2M
;Запретим загрузку удаленных файло
allow_url_include = Off
;Агент отправки e-mail
sendmail_path =  /usr/sbin/sendmail -t -i
;Уберем лишний заголовок X-PHP-Originating-Script
mail.add_x_header = Off
;Определяем максимально допустимое значение памяти. -1 без ограничений
memory_limit = 128M
;Определяем максимальное время обработки скрипта
max_execution_time = 30


Для корректировки путей в файле /etc/apache2/mods-available/fcgid.conf добавьте

PHP_Fix_Pathinfo_Enable 1


а также установите параметр FcgidMaxRequestLen указав максимальный размер запроса

FcgidMaxRequestLen 10737418


Также скорости прибавит memcached и xcache

aptitude install memcached
aptitude install php5-xcache  


Защита от разного рода инъекций



Для дополнительной безопасности установим расширение mod_security

aptitude install libapache2-modsecurity


Переименуем конфигурационный файл

mv /etc/modsecurity/modsecurity.conf{-recommended,}


Теперь откроем его и изменим конфигурации

#Включим режим блокировки
SecRuleEngine on
#Определим максимальный размер данных POST, в данном случае 10м
SecRequestBodyLimit 10485760
#Определим максимальный размер данных POST за вычетом файлов, в данном случае 10м
SecRequestBodyNoFilesLimit 1048576


Подгрузим базовые правила, для чего между IfModule security2_module> в файле /etc/apache2/mods-enabled/mod-security.conf добавим

Include /usr/share/modsecurity-crs/*.conf
Include /usr/share/modsecurity-crs/base_rules/*.conf


Защита от DOS, DDOS и FLUD атак, а также перебора паролей



Установим mod-evasive для Apache

aptitude install libapache2-mod-evasive


подключим

a2enmod


и изменим конфигурации в файле /etc/apache2/mods-available/mod-evasive.conf

<IfModule mod_evasive20.c>
    #Размер таблицы адресов
    DOSHashTableSize    3097
    #Число запросов к одной странице от одного и того же IP в течение указаного интервала времени.
    DOSPageCount        2
    #Число запросов ко всем страницам домена, т.е если поступило более 50-ти запросов с одного ай-пи на разные страницы домена – тогда такой ай-пи будет заблокирован.
    DOSSiteCount        50
    #Интервал для директивы DOSPageCount (в секундах)
    DOSPageInterval     1
    #Интервал для директивы DOSSiteCount (в секундах)
    DOSSiteInterval     1
    #На сколько заблокировать ай-пи (в секундах)
    DOSBlockingPeriod   10
    #Email для уведомлений о блокировке 
    DOSEmailNotify      mail@gmail.com
    #Файл логов
    DOSLogDir           "/var/log/mod_evasive"
    #Список адресов для которых не будут работать ограничения
    DOSWhitelist 127.0.0.1
    DOSWhitelist 192.168.1.1
</IfModule>


Для защита от перебора паролей установим Fail2ban

aptitude install fail2ban


Перезапускаем apache, nginx и memcached

Конфигурация mod_evasive
ProFTPD module mod_auth
Fail2ban
Сервер FTP
VSFTPD.CONF
modsecurity
Пользователи и группы
Защита веб-сервера Apache от атаки медленного чтения, а так же некоторых других направленных атак
УСТАНОВКА И НАСТРОЙКА MOD_SECURITY НА APACHE В DEBIAN И UBUNTU
Теги:suexecfail2banmodevasiveddos-защитаmod_security
Хабы: Информационная безопасность Разработка веб-сайтов PHP
Рейтинг -1
Количество просмотров 16,8k Добавить в закладки 168
Комментарии
Комментарии 14

Похожие публикации

Лучшие публикации за сутки