|
Tweak Security Sağlamak |
Yanıt Yaz 
|
| Yazar | |
megabros 
Security Professional 
Kayıt Tarihi: 08-06-2009 Konum: Turkey Status: Aktif Değil Points: 752 |
 Mesaj Seçenekleri
Yanıt Yaz
Alıntı megabros
Bu mesaj kurallara aykırıysa buradan yöneticileri bilgilendirebilirsiniz.
 Thanks(0)
 Alıntı Cevapla
 Konu: Tweak Security SağlamakGönderim Zamanı: 23-08-2009 Saat 12:44 |
|
İlk önce ana whm menusunden tweak setting bölümüne giriyoruz yapacağımız değişiklikler serverın optimal derecede ve güvenli olarak çalışabilmesi için yapıcağımız değişikliklerdir tweak settings bölümüne girdik ben size neyin ne işe yaradıpğını sıryala açıklayacağım anlaşılır olanlarıda direk geçicem. üstteki menuden başlıyalım Domains kısmına geldik: Allow Creation of Parked/Addon Domains that resolve to other servers (ie domain transfers) [This can be a major security problem. If you must have it enabled, be sure to not allow users to park common internet domains.] burdada belirttiği gibi bunuda kesinlikle boş bırakın güvenlik sorunlarına neden olabilir Allow users to Park/Addon Domains on top of domains owned by other users. (probably a bad idea): bunuda boş bırakıyoruz Prevent users from parking/adding on common internet domains. (ie hotmail.com, aol.com) Mail Kısmına geldik: Add the mail. prefix for mailman urls (ie http://mail.domain.com/mailman) Bunu işaretliyoruz Attempt to prevent pop3 connection floods Bunuda işaretliyoruz mail tabamnlı yapılabilecke floodları engellemektedir Default catch-all/default address behavior for new accounts.Bunu fail olarak seçin serverınıza gönderilen fakat belirli bir adres verilmeyen bütün mailler gitmedi olarak karşı tarafa cevap bırakır bu email floodları için iyi bir önlem Email users when they have reached 80% of their bandwidth: işaretliyoruz Horde Webmail İşaretliyoruz kullanıcıların maillerine bakabilmeleri için bir mail programı Include a list of Pop before SMTP senders in the X-PopBeforeSMTP header when relaying mail. (exim 4.34-30+ required)Boş kalabilir Mailman Number of minutes between mail server queue runs (default is 60).: default değeri 60 dır 60 olarak bırakalım Prevent the user “nobody” from sending out mail to remote addresses (php and cgi scripts generally run as nobody if you are not using phpsuexec and suexec respectively.)eğer phpsuexec i whm den açarsanız yani php scriptlerini cgi gibi çalışmasını sağlarsanız php ile gönderilen mailler nobody@server.com gibi gitmez bir id si olur böylece kimin spam yolladığı vs. belli olur bu seçeneği işaretlemek için ana menuden php sueexec i açmalısınız phpsuexec i açtıysanız 755 üzeri chmod vermeyin dosyalara
Silently Discard all FormMail-clone requests with a bcc: header in the subject line bcc header a sahip formmail scriptlerini mail yollamasını engeller bu spam için çok önemli bir önlem Spamassassin SquirrelMail Webmail: Bunlarıda işaretliyoruz The maximum each domain can send out per hour (0 is unlimited):: Bir domainini bir saatte gönderebileceği maksimum mail bence bunu 100 de sabitlemek iyidir tabi çok aktif forumlar vs. varsa üye kaydı filan devamlı olavağı için arttırılmalı ayrıca phpbb de tüm üyelere email diye bir seçenek var eğer bunu 100 olarak sınırlarsanız haliyle sadece 100 üyeye o mail gider The number of times users are allowed to check their mail using pop3 per hour:10 yeterli derim bir kişinin 1 saat içinde mailini kaç kere kontrol edebileceği Track the origin of messages sent though the mail server by adding the X-Source headers (exim 4.34+ required) Bunu kesin işaretliyoruz header da mailin nerden gönderildiğini görülmesi için bu yazıyı hazırlarken cpanel whm 10 release 162 de exim 4.50 vardı o yüzden 4.34 istiyormuş sorun olmayacaktır NotificationsKısmına gldik Software kısmına geldik FormMail-clone cgiBunu müşterileriniz için işaretlemelisiniz yok formmaille işim olmaz diyosanız kapayın çünkü direk flood a açık bir olay Interchange Version to use (if you disable interchange, you must turn off the service in the service manager) Açmayın derim gereksiz bir servis her gereksiz servis cpu+ram yiyeceği gibi potansiyel olarak yeni bir güvenlik açığına neden olur MySQL Version to use (you must run Software/Update Server Software (or /scripts/sysup) for this to take affect. You should then run buildapache/easyapache after changing this option. MySQL 4 is not avalible on glibc-2.1 or below platforms) 4 ü seçiyoruz mysql 4 de bir sürü yenilik var ve daha hızlı + union desteklenmektedir Stats Programs Analog Stats Awstats Reverse Dns Resolution Awstats Stats Webalizer Stats Hepsini işaretliyebilirsiniz ama bence analog stast ve awstats yeterli her yeni istatislik programı belirli aralıklarla güncelleniğinden serverınıza ek yük getiricektir Stats and Logs Delete each domain”s access logs after stats run İşaretliyoruz kesinlikle yoksa disk alanınız dolabilir Do not reset /usr/local/apache/domlogs/ftpxferlog after it has been seperated into each domain name”s ftp logBoş bırakın Exim Stats Daemon (required for smtp bandwidth logging; must also be modified in the service manager as well)İşaretliyoruz Keep Stats Log (/usr/local/cpanel/logs/stats_log) between cpanel restarts (default is off) Number of days between processing log files and bandwidth usage (default 1, decimal values are ok): default değeri 1 ben 0.5 yapıyorum bunu 12 satte güncellemek serverı daha az yorar serverınıza http flood gibi bir saldırı olduğunda harddiskin atıyorum %20 si doluyken bir anda %30 olduğunu görebilirsiniz merak etmeyin o bolluk log dosyalarına ait bir sonraki gün eski boyutuna gelicektir Stats Log Level (default is 1, larger numbers indicate more debug information in /usr/local/cpanel/logs/stats_log) [0...10]: 1 bırakın When viewing bandwidth usage in WHM, always display in Megabytes first. işaretleyin Status a geldik System Allow Sharing Nameserver Ips işaretliyoruz Allow cPanel users to reset their password via email Disable Disk Quota display caching (whm will cache disk usage which may result in the display of disk quotas being up to 15 minutes behind the actual disk usage. Disabling this may result in a large performace degradation.) Disable Http Authentication for cPanel/WebMail/WHM Logins (forces cookie authentication) Display Errors in cPanel instead of logging them to /usr/local/cpanel/logs/error_log Do not warn about features that will be depreciated in later releases (Warning: If you check this box, you will not be able to learn about features that will be disappearing in future releases. This could lead to a non-functional server when the feature is finally removed.) bu kısımlar kesinlikle boş whm cpanel in olayı ise 2082 2086 yerine sizi 2083 ve 2087 olan daha güvenli portlara yönlendirmesi burada yapacaığınız< işlemler biraz daha yavaştır ama daha güvenlidir emin olun eğer geçerli bir ssl sertifikası yüklemedi iseniz cpanel girişinde sertifika onaysız geçerli değil gibi bir ifade verir. evet whm den Server Setup Bölümünden tweak security bölümüne giriyoruz Php open_basedir Tweak ile başlıyoruz açıklamasındada dediği gibi biliyorsunuz php kullanılarak shell e ihtiyacınız olmadan aynı shell deymiş gibi bütün komutları filan istetebilirsiniz tabi php safe modda değil ise php open_basedir protection ın altındaki configure tuşuna basıyoruz ve yeni aaçılan menuden 2. seçeneğimiz mod_userdir Tweak Apache”s mod_userdir allows users to view their sites by entering a tilde(~) and their username as the uri on a specific host. For example http://test.cpanel.net/~fred will bring up the user fred”s domain. The disadvantage of this feature is that any bandwidth usage used by this site will be put on the domain it is accessed under (in this case test.cpanel.net). mod_userdir protection prevents this from happening. You may however want to disable it on specific virtual hosts (generally shared ssl hosts.) yazan kısım çoğu host sahibi bunun ne olduğunu bilmez ama çok önemli bir olay ben bunla yalan olmasın hosttan 600 gb bw yemiştim bunun olayı şu eğer bu korumayı açmadı iseniz ve ana serverınızın ipsi 10.0.0.2 diyelim adamın adamında www.denem.com diye bir sitesi var ve kullanıcıadıda deneme http://10.0.0.2/~deneme yazarak kendi sitesine girer bu korumayı açarsanız ve kendi bw sinden yiyor gözükmez evet bu seçeneğin altındaki Enable mod_userdir Protection.e basıyoruz ve korumayı aktif ediyoruz hehrangi bir sitenin bu korumadan yararlanmamasını istiyorsanız sitenin adresinin yanındaki kutuya işaret koyuyorsunuz 3. olayımız This tweak will disable the system”s c and c++ compilers for unprivileged. Many canned exploits require a working c on the system. You can also choose to allow some users to use the compilers while they remain disabled by default. bu gerçekten çok önemli derleyicileri izini olmayan kullanıcılar için kapatıyorsunuz yani sizin sisteminize ezzploit indirip bu sistemde derliyemezler tabi yani çok aman aman bir koruma değil işini bilen her şekilde yapar ben kendi makinamda derler buraya yükler burda çalıştırırım gene ama genelde bu işlerle uğraşanlar script kiddie dediklerimiz oldukları için derinlemesine bu konulardan anlamazlar gene configuder ye basarak disable compliers ı seçiyoruz 4. olayımız Traceroute Tweak 5. olayımız This SMTP tweak will prevent users from bypassing the mail server to send mail (This is a common practice used by spammers). It will only allow the MTA (mail transport agent), mailman, and root to connect to remote SMTP servers. çoğu serverda sisteme login olabilmeden bile temel komutlarla o sistemden mail gönderilebilmektedir bu olay ise bu dediğimiz şeyi önlemektedir Server Setup ile devam ediyoruz Kod: e geliyoruz bu cpanelin güncelleştirilme sıklığı cpanel dediğimiz olay süper bir kontrol paneli bütün herşeyi kendi güncelleme yetisine sahip kernel ve apache ve php dışında mysql u proftpd yi pureftpd yi addon scriptleri phpbbphpnuke shopping cartlar perl versiyonunu phpmyadmini aklınıza ne geliyorsa herşeyi otomatik olarak kendi gücnelliyebiliyor seçenekleri resimdeki gibi yapıyoruz eğer stable ı seçerseniz en kararlı cpanel sürümü yüklenir release de stabil e göre daha az test edilmiş genede hiç bir sorun çıkartmayan ve en yeni sürüm programlar rpm ler yüklenir mesela exim 4.50 in stable a gelmesi 2 ay geç oldu release den edge ise sadece serverda yazılım ile ilgil i bir sorun yaşıyorsanız daha üst bir sürüme yükseltmenizi öneririm seçenekleri resimdeki gibi işaretleyin cPanel/WHM Updates i Automatic (RELEASE tree) olarak cPanel Package Updatesi Automatic olarak Security Package Updates i Automatic olarak gelelim server setp da yeni bir menuye Service Configuration menusune geldik orda en altta Mysql menusune geliyoruz MySQL Root Password u seçiyoıruz yeni açılan menuden bir mysql root şifresi belirliyoruz bu şifrenin harf+rakam karışımı bir şifre olmasına ve zor olmasına dikkat edin crackerlar genelde default kullanıcılar için şifreleri denemektedir ve böylece sistemde lokal yekiye sahip olabilmektedirler Softwarekısmına geldik burda şu 3 kısımı haftada bir updateleyin tıklayın o kendi updateler Update Server Software Update System Software Update Backend Scripts bu menuden en çok işinize yarıuyacak seçeneğe geldik burdakiler tamamen sizin ihtiyaçlarınıza göre ama ben bir serverda bulunması gereken şeyleri sizin için seçeyim burda listediklerimi sizde seçin ben bu yazıyı yazarken en son php versiiyonu 4.3.11 di bundan sonra çıkacak versiyonlar için en güncelini seçin Seçilicek modüller Expires Module bunları seçtikten sonra start build e basıp serverınızın hızına göre yarım saat ile 3 saat arasında bekliyebilirsiniz bağlantı hızıda önemli tabi 100 mbit bir makinada bişey etkilemez Security menusune geldik
Modify Apache Memory Usage seçeneğini seçiyoruz o kendi sistemimizdeki ram e göre apache nin maksimum kullanabileceği child process için maksimum ram i seçiyor 1024 için 149 mb ram yaptı bu bölümde güvenlik adına yapucağımız bişeyler kalmadı sanırım aklıma gelirse daha eklerim artık bundan sonraki yazılar direk server üzerinden yapıcaklarımız olucak. Saygılar.. Düzenleyen megabros - 23-08-2009 Saat 12:44 |
|
 |
|
|
Yanıt Yaz
|
|
| Tweet |
| Forum Atla | Forum İzinleri Kapalı Foruma Yeni Konu Gönderme Kapalı Forumdaki Konulara Cevap Yazma Kapalı Forumda Cevapları Silme Kapalı Forumdaki Cevapları Düzenleme Kapalı Forumda Anket Açma Açık Forumda Anketlerde Oy Kullanma |
Konu Seçenekleri