Difference between revisions of "OpenChaos/Securing Unix"
(Notizen eingestellt) |
(→Notizen zum Vortrag: Link korr.) |
||
| Line 8: | Line 8: | ||
* zu: "XSS ist nicht schlimm" Link mit Gegenbeispiel kommt noch? | * zu: "XSS ist nicht schlimm" Link mit Gegenbeispiel kommt noch? | ||
| − | * interessante Firefox-Extension: | + | * interessante Firefox-Extension: [http://addons.mozilla.org/firefox/addon/966 Tamper-Data] zum Bearbeiten der zu sendenden Formulardaten vor dem Übertragen an den Server |
* Link zu PHP-Hardening-Projekt: http://www.hardened-php.net/ | * Link zu PHP-Hardening-Projekt: http://www.hardened-php.net/ | ||
* "Nichts hält besser als ein Provisorium, deshalb ist Gaffa-Tape so | * "Nichts hält besser als ein Provisorium, deshalb ist Gaffa-Tape so | ||
| Line 22: | Line 22: | ||
* Thorsten Holz: Beste Quelle zum Thema Botnetz-Angriffe: http://honeyblog.org/ | * Thorsten Holz: Beste Quelle zum Thema Botnetz-Angriffe: http://honeyblog.org/ | ||
* Nette Pseudo-Buchcover "selber machen": http://www.oreillymaker.com/ | * Nette Pseudo-Buchcover "selber machen": http://www.oreillymaker.com/ | ||
| − | |||
== Probleme == | == Probleme == | ||
Revision as of 23:03, 31 January 2008
Vortragsfolien kommen noch
Notizen zum Vortrag
Mache BACKUPS, aber sicher!
- zu: "XSS ist nicht schlimm" Link mit Gegenbeispiel kommt noch?
- interessante Firefox-Extension: Tamper-Data zum Bearbeiten der zu sendenden Formulardaten vor dem Übertragen an den Server
- Link zu PHP-Hardening-Projekt: http://www.hardened-php.net/
- "Nichts hält besser als ein Provisorium, deshalb ist Gaffa-Tape so
- Zu faul eigene, sichere Passwörter auszudenken: pwgen!
- "Ehemaliger Chef schaltet abends den Web-Server aus und morgens wieder an, damit er nachts nicht gehackt werden kann."
- Beim regelmäßigen Checks (Firmware-Updates, Rechte, Erreichbarkeit etc.) Drucker nicht vergessen
- Gewarnt sei vor: Plesk, Webmin, etc. Lieber selber scripten (im Gegensatz zu CMS???)
- Eigene Aktionen Dokumentieren: Gespräche/Einweisungen mit neuen Mitarbeitern/Azubis sind hilfreiche Indikatoren wo geschummelt wurde
- Ätzend: Wenn das Log zu voll ist (Debug-Mode? PHP-Errors?) um zu ...
- Link zu Congress-Vortrag: SELinux kommt noch?
- Google mal nach: "FreeBSD Advisories", automatische Kontrolle aktueller Security-Meldungen
- Benachrichtigungen: Ketten bilden, Kompetenz beachten
- Thorsten Holz: Beste Quelle zum Thema Botnetz-Angriffe: http://honeyblog.org/
- Nette Pseudo-Buchcover "selber machen": http://www.oreillymaker.com/
Probleme
- IPv6: entweder ausschalten oder richtig filtern (Immernoch problematisch!)
- Default-Dienste? "Das ist ja auch OpenSuse, was meinst Du woher der Name kommt."
Fragen
- Selber scripten oder nicht? Das muss wohl jeder für sich entscheiden. Komplexe und große Systeme eher nicht (CMS), kleine Verwaltungstools eher doch (statt Plesk und Consorten).
- SHH erst nach Knocking: bringt das was oder ist das nur obscurity? Obscurity! Probleme: Knocking-Pakete sind eine Einladung, Timeouts/RaceConditions, Kompliziert und ein Script zum Öffnen ist eine neue Sicherheitslücke.
- Virtuoso einsetzen? Ja, kostet aber Geld. (openVZ leider nicht so toll)
