Должен признаться, что сколько ни будь серьезным опытом администрирования я не обладаю. Приходилось настраивать сеть для пары-тройки машин под управлением виндовс и линукс. Из всего выше указанного вытекает следующий вопрос. Мне необходимо будет прописать правила iptables, но поскольку опыта у меня не очень, то я не совсем четко себе представляю от каких возможных угроз следует страховаться.  В одном из блогов нашел следующий список:

Пожалуйста, подскажите, что еще следует предусмотреть, от чего застраховаться. Хочу повториться о том, что меня не интересует КАК писать правила, меня интересует КАКИЕ угрозы следует предупредить.

P.S. Думаю я не единственный кто задается подобным вопросом и если ответы сгруппировать по признакам, например, "Необходимо", "Важно", "Стоит сделать" и "Ну, я бы еще вот это сделал", то может получиться неплохое how to. 

Всё зависит от задач и от сетевого окружения.

В этом случае сильно заморачиваться не стоит. Нужно же ещё проверить потом, работают ли правила, понять, на что они ешё могут повлиять.

Я б и не заморачивлася. Но у руководства иная точка зрения. В качестве антикризисной меры принято решение не привлекать варягов со стороны, а напрячь собственные ресурсы в моем лице.

wolfgang, если опыта маловато, то нужно следовать правилам "Запрещено всё, кроме..."
Т.е. запрещаешь вообще всё и открываешь ресурсы только по мере необходимости.

Если было бы опыта поболе, то нужно было бы следовать правилу "Разрешено всё, что не запрещено".
Но это уже следующий шаг в развитии админа...


Это сообщение отредактировал(а) mihanik - 2.1.2011, 16:20

Общие принципы мне ясны. Меня интересует каким именно вопросам следует уделить внимание. Я список в первом посте привел именно для того, чтобы дополнить его, или наоборот урезать. Не хочется стрелять по воробьям, а важное прозевать.

Что-то этот список очень сильно напоминает список настроек стандартного Windows'ого "файрволла".   В нормальных условиях он не имеет смысла - Вы, когда ходите по улице, пытаетесь не попасть под каждую конкретную машину по очереди, или все-таки просто ходите по тротуару? 

Список угроз имеет смысл составлять только тогда, когда есть какая-то местная специфика, из-за которой та или иная проблема резко более вероятна, чем обычно, но тут Вам никто со стороны ничего подсказать не сможет. Во всех остальных случаях надо просто выставить нормальные настройки (что для большинства дистрибутивов Linux означает "поставить по умолчанию и без необходимости ничего не трогать").

 Да, например стандаартный вин-фаервол обязательно будет закрывать SSH, про который по определению ни сном, ни духом не слыхал. Неужто вин-сервера подвержены иным видам угроз, чем линуксовые? Просто для винды список длиннее будет.


А можно вот с этого места поподробнее. Дистрибутив планируется Debian, или (предвижу многочисленные фу) Ubuntu-server. Получается, что ставим ОС и уже имеем защищенный сервер, в котором ни чего допиливать не надо и можно сразу разворачивать сайты? Сомнительно как-то.

Это сообщение отредактировал(а) wolfgang - 2.1.2011, 21:00

Я же написал "похож", а не "является копией". Стиль примерно такой же.



Не то что бы сразу "фу", но в целом предвидите правильно. Для таких целей лучше брать сравнительно "консервативный" серверный дистрибутив. RHEL, SLES, еще что-то подобное... Хотя, в целом, трудно сказать, что правильнее - брать специализированный дистрибутив или привычный, у обоих вариантов есть свои преимущества.


Это как раз нормально. Вы просто, по-видимому, слишком много работали к Windows и отвыкли от приличных программных продуктов.   

А если серьезно, то для обычных задач установки "по умолчанию" достаточно. Для необычных случаев может и не хватить, но у Вас его явно не наблюдается, иначе бы этот вопрос тут не появился.

wolfgang, я скажу одну умную вещь, только ты не обижайся.

Пример: Linux Fedora
По умолчанию всё отключено по самое не балуйся. Если нужно что-то, то сначала решаешь, что именно нужно, а потом добавляешь нужные разрешения.
Короче, "из коробки" всё уже довольно секурно.
Для начинающего админа - самое то.

вообще не заморачиваться.
все в drop.
потом только то что нужно разрешаем.
НО в любом случае запрещаем входящие соединения.

Почему следующий?

Потому что нужно знать, что запрещать и как минимизировать последствия от возможных угроз.