Server Hardening (Debian)

Aus MattWiki

Apache Webserver

Serverversion und Betriebssystem ausblenden

Neue Datei /etc/apache2/conf-available/zzz-my-security.conf erstellen: 

ServerTokens Prod
ServerSignature Off

Die Datei ersetzt die gleichnamigen Variablen aus /etc/apache2/conf-available/zzz-my-security.conf.

Verzeichnisauflistungen deaktivieren

# nano /etc/apache2/apache2.conf bearbeiten

Folgenden Abschnitt suchen 

<Directory /var/www/>
  # Options Indexes FollowSymLinks       # Zeile auskommentieren
  Options FollowSymLinks                 # Zeile einfügen
  AllowOverride None                                                                                          
  Require all granted
</Directory>

Alle Anfragen auf HTTPS umleiten per Redirect

Hierfür am besten eine komplette Subdomain benutzen. Einrichtung per VirtualHost. Darin diese Zeile einfügen: 

Redirect permanent / https://host1.domain.tld/

Ergebnis: 

<VirtualHost *:80>                                                                                  
        DocumentRoot /var/www/host1                                                            
        ServerName host1.domain.tld                                                           
        Redirect permanent / https://host1.domain.tld/
</VirtualHost>

Alle Anfragen auf HTTPS umleiten per Rewrite

Erfordert Modul RewriteEngine. Muss vorher aktiviert werden mit a2enmod rewrite.

Standard-Konfigurationsdatei /etc/apache2/sites-available/000-default.conf bearbeiten: 

<VirtualHost *:80>
   ServerName host1.domain.tld
   ...
   ...
   ...
   RewriteEngine on 
   RewriteCond %{SERVER_NAME} =host1.domain.tld
   RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,QSA,R=permanent]
</VirtualHost>

SSL-Konfigurationsdatei /etc/apache2/sites-available/000-default-ssl.conf bearbeiten.

Sie muss mindestens einen zur Standard-Konfigurationsdateinamen passenden ServerName enthalten: 

<VirtualHost *:443>
    ServerName host1.domain.tld
    ...
    ...
    ...
</VirtualHost>

SSL Konfiguration härten

Die hierfür notwendigen Einstellungen lassen sich nicht pauschal benennen.

Eine Einleitung findet sich bei Mozilla: https://wiki.mozilla.org/Security/Server_Side_TLS

Dort steht auch der Mozilla SSL Configuration Generator zur Verfügung.

Die generierten Inhalte in die ssl.conf-Datei einbauen.

Serverkonfiguration neu laden

Nach den Bearbeitungen Konfiguration neu laden 

# /etc/init.d/apache2 reload     # Nur Konfiguration neu laden
                                 # oder
# service apache2 restart        # Weberserver neu starten

SSH Server

# nano /etc/ssh/sshd_config

Änderungen: 

Port 22                     # Auf einen anderen Port stellen
ListenAddress ::            # ???
ListenAddress 192.168.1.100 # Login z. B. nur über lokale Netzwerk 192.168.1.xxx
Protocol 2                  # Idealerweise nur Protocol 2 benutzen, Protocol 1 hat Sicherheitslücken
PermitRootLogin no          # Root-Login deaktivieren
#Alternativ:
PermitRootLogin without-password  # Root-Login nur ohne Passwort
IgnoreRhosts yes            # Ignore old RSH-Access
RhostsRSAAuthentication no  
HostbasedAuthentication no  # Keine Host-Basierte Authentifizierung
PermitEmptyPasswords no     # User mit leeren Passwörtern erlauben
PasswordAuthentication no   # Stattdessen Zertifikatsauthentifizierung ohne Password
X11Forwarding no            # Wenn Hochsicherheitsserver ohne GUI-Notwendig
UserPAM no
AllowUsers xxx yyy          # Nur User xxx und yyy zulassen
DenyUsers zzz               # User zzz ablehnen

Danach noch Config-Datei neu laden oder SSH-Server neu starten 

# service ssh reload        # oder
# service ssh restart

Optional installieren:

Netzwerk

IPv6 deaktivieren

Im Kernel deaktivieren 

# echo net.ipv6.conf.all.disable_ipv6=1 > /etc/sysctl.d/disableipv6.conf

Zusätzlich 

# nano /etc/hosts       # Alle IPv6-relevanten Zeilen entfernen.

Neustarten

Abgerufen von „https://otremba.net/w/index.php?title=Server_Hardening_(Debian)&oldid=2485“