OpenChaos/Securing Unix

Folien und eine Linkliste gibt es auf ampersize.org

Notizen zum Vortrag

Mache BACKUPS, aber sicher!

• zu: "XSS ist nicht schlimm" siehe Hintergrund auf Heise-Security
• interessante Firefox-Extension: Tamper-Data zum Bearbeiten der zu sendenden Formulardaten vor dem Übertragen an den Server
• Link zu PHP-Hardening-Projekt: http://www.hardened-php.net/
• "Nichts hält besser als ein Provisorium, deshalb ist Gaffa-Tape so beliebt!"
• Zu faul eigene, sichere Passwörter auszudenken? pwgen oder apg!
• "Ehemaliger Chef schaltet abends den Web-Server aus und morgens wieder an, damit er nachts nicht gehackt werden kann."
• Beim regelmäßigen Checks (Firmware-Updates, Rechte, Erreichbarkeit etc.) die Drucker nicht vergessen!
• Gewarnt sei vor: Plesk, Webmin, etc. Lieber selber scripten (im Gegensatz zu CMS???)
• Eigene Aktionen Dokumentieren: Gespräche/Einweisungen mit neuen Mitarbeitern/Azubis sind hilfreiche Indikatoren wo geschummelt wurde
• Ätzend: Wenn das Log zu voll ist (Debug-Mode? PHP-Errors?) um zu ...
• Link zu Congress-Vortrag: Hier? SELinux
• Google mal nach: "FreeBSD Advisories", automatische Kontrolle aktueller Security-Meldungen
• Benachrichtigungen: Ketten bilden, Kompetenz beachten
• Thorsten Holz: Beste Quelle zum Thema Botnetz-Angriffe: http://honeyblog.org/
• Nette Pseudo-Buchcover "selber machen": http://www.oreillymaker.com/

Probleme

• IPv6: entweder ausschalten oder richtig filtern (Immernoch problematisch!)
• Default-Dienste? "Das ist ja auch OpenSuse, was meinst Du woher der Name kommt."

Fragen

• Selber scripten oder nicht? Das muss wohl jeder für sich entscheiden. Komplexe und große Systeme eher nicht (CMS), kleine Verwaltungstools eher doch (statt Plesk und Consorten).
• SHH erst nach Knocking: bringt das was oder ist das nur obscurity? Obscurity! Probleme: Knocking-Pakete sind eine Einladung, Timeouts/RaceConditions, Kompliziert und ein Script zum Öffnen ist eine neue Sicherheitslücke.
• Virtuoso einsetzen? Ja, kostet aber Geld. (openVZ leider nicht so toll)