OpenChaos/Securing Unix

Folien unter Linkliste auf ampersize.org

Notizen zum Vortrag

Mache BACKUPS, aber sicher!

zu: "XSS ist nicht schlimm" siehe Hintergrund auf Heise-Security
interessante Firefox-Extension: Tamper-Data zum Bearbeiten der zu sendenden Formulardaten vor dem Übertragen an den Server
Link zu PHP-Hardening-Projekt: http://www.hardened-php.net/
"Nichts hält besser als ein Provisorium, deshalb ist Gaffa-Tape so beliebt!"
Zu faul eigene, sichere Passwörter auszudenken? pwgen!
"Ehemaliger Chef schaltet abends den Web-Server aus und morgens wieder an, damit er nachts nicht gehackt werden kann."
Beim regelmäßigen Checks (Firmware-Updates, Rechte, Erreichbarkeit etc.) die Drucker nicht vergessen!
Gewarnt sei vor: Plesk, Webmin, etc. Lieber selber scripten (im Gegensatz zu CMS???)
Eigene Aktionen Dokumentieren: Gespräche/Einweisungen mit neuen Mitarbeitern/Azubis sind hilfreiche Indikatoren wo geschummelt wurde
Ätzend: Wenn das Log zu voll ist (Debug-Mode? PHP-Errors?) um zu ...
Link zu Congress-Vortrag: Hier? SELinux
Google mal nach: "FreeBSD Advisories", automatische Kontrolle aktueller Security-Meldungen
Benachrichtigungen: Ketten bilden, Kompetenz beachten
Thorsten Holz: Beste Quelle zum Thema Botnetz-Angriffe: http://honeyblog.org/
Nette Pseudo-Buchcover "selber machen": http://www.oreillymaker.com/

IPv6: entweder ausschalten oder richtig filtern (Immernoch problematisch!)
Default-Dienste? "Das ist ja auch OpenSuse, was meinst Du woher der Name kommt."

Selber scripten oder nicht? Das muss wohl jeder für sich entscheiden. Komplexe und große Systeme eher nicht (CMS), kleine Verwaltungstools eher doch (statt Plesk und Consorten).
SHH erst nach Knocking: bringt das was oder ist das nur obscurity? Obscurity! Probleme: Knocking-Pakete sind eine Einladung, Timeouts/RaceConditions, Kompliziert und ein Script zum Öffnen ist eine neue Sicherheitslücke.
Virtuoso einsetzen? Ja, kostet aber Geld. (openVZ leider nicht so toll)