Windows 2008 R2 के आधार पर VPS सर्वर की सुरक्षा

यह मेरी कंपनी के ब्लॉग से मेरे पोस्ट का एक नि: शुल्क अनुवाद है - मैंने अपने सर्वर पर हैकर के हमले के परिणामों के बारे में बताया।

संक्षेप में - मेरा सर्वर हैक हो गया था। हमलावर को एफ़टीपी सर्वर के लिए पासवर्ड प्राप्त हुआ और लगभग 10 घंटे तक वह सब कुछ डाउनलोड किया, जो हाथों तक पहुँचा। कैसे, वास्तव में, सर्वर हैक किया गया था एक अलग कहानी है। संक्षेप में - हैकर ने मेरे हॉस्टल में एक फर्जी सपोर्ट टिकट भेजा और उसे एक एफ़टीपी उपयोगकर्ता बनाने में मदद करने के लिए कहा। और हॉस्टल, सामान्य तौर पर, बहकाया गया था। न केवल उसने एक उपयोगकर्ता बनाया, और यहां तक ​​कि उसे व्यवस्थापक अधिकार भी दिए ... एक हैकर और एक होस्टर के बीच पत्राचार (मैं एक प्रति को पकड़ने में कामयाब रहा), मैं - अगर हैबरोवस्क लोग चाहते हैं - इसे पोस्ट करेंगे, तो यह एक अलग मजाक है। इस बीच, मैं केवल उन चरणों को सूचीबद्ध करूंगा जो मैंने अपने सर्वर की सुरक्षा और परिणामों को समाप्त करने के लिए उठाए थे:

मुझे तुरंत कहना चाहिए - मैं एक व्यवस्थापक नहीं हूं। मैं एक .NET प्रोग्रामर हूं। श्रम प्रशासकों और सुरक्षा विशेषज्ञों को घूरने के लिए, मेरे प्रयास निश्चित रूप से प्रलाप के समान प्रतीत होंगे, इसलिए मैं तुरंत उन्हें यह सब दिल से नहीं लेने के लिए कहता हूं। लेकिन शायद मैं किसी की मदद करूंगा ... मेरी तरह, एक प्रोग्रामर जो सिर्फ कई अनुप्रयोगों के साथ अपना छोटा सर्वर रखता है।

तो:

1. लॉकआउट नीति कॉन्फ़िगर करें । डिफ़ॉल्ट रूप से, विंडोज सर्वर ब्रूट बल से सुरक्षित नहीं है - पासवर्ड अनुमान के माध्यम से हमला करता है। एक हैकर, उदाहरण के लिए, विभिन्न लॉगिन / पासवर्ड की कोशिश करके एक हजार आरडीपी कनेक्शन (उर्फ रिमोट डेस्कटॉप) बना सकता है। या अपने FTP सर्वर को अंतहीन कनेक्शन के साथ पीड़ा दें ... यही कारण है कि यह "लॉकआउट" स्थापित करने के लायक है - कई असफल प्रयासों के बाद उपयोगकर्ता को अस्थायी रूप से अवरुद्ध करना।
   
   हम "स्टार्ट - रन - सेकेंडपोल.एमएससी - सिक्योरिटी सेटिंग्स - अकाउंट पॉलिसीज - अकाउंट लॉकआउट पॉलिसी" पर जाते हैं। और उदाहरण के लिए, "5 प्रयास" और "5 मिनट" - यह 5 विफल प्राधिकरणों के बाद 5 मिनट के लिए उपयोगकर्ता को अवरुद्ध करेगा।
   
   
2. सपोर्ट यूज़र को ब्लॉक करें। यदि आप सर्वर किराए पर लेते हैं, तो आपने शायद अपने होस्टर के लिए एक सपोर्ट यूज़र को कॉन्फ़िगर किया है। "सपोर्ट यूज़र" या "support_user" जैसा कुछ। उसे ब्लॉक करो। कभी-कभी खतरा हॉस्टल से भी आ जाता है। और उनके भोले-भाले भारतीय युवा, जो दाएं और बाएं तक पहुंच देते हैं। यही मेरे साथ हुआ।
   
   
3. यदि आवश्यक नहीं है तो एफ़टीपी अक्षम करें। यदि आपके क्लाइंट या एप्लिकेशन को लगातार एफ़टीपी की आवश्यकता नहीं है, तो इसे काट दें। इसे केवल तभी चालू करें जब आपको फ़ाइलों को अपलोड करने की आवश्यकता हो। और केवल अपने आईपी से पहुंच की अनुमति दें। बेहतर अभी तक, सर्वर को ब्लाइंड-पुट मोड में रखें। तथाकथित सर्वर जो केवल लिखने की अनुमति देते हैं। FTP सर्वर की IIS सेटिंग्स में, "राइट" चेक करें और "रीड" को अनचेक करें।
   
   
4. पासवर्ड मैनेजर स्थापित करें । मेरे दोस्तों का एक समूह (वास्तव में - एक गुच्छा) योजना का उपयोग करता है "एक जटिल पासवर्ड - सब कुछ के लिए।" यहां तक ​​कि परिचित प्रोग्रामर, प्रवेशकर्ता, डिजाइनर ... सामान्य रूप से बेवकूफ नहीं, लोग। इस पर सोचो। यहां तक ​​कि सेवा खातों (जैसे डेटाबेस उपयोगकर्ता, आदि) के लिए केवल जटिल जनरेट किए गए पासवर्ड का उपयोग करें। और उन्हें पास मैनेजर में रखें। व्यक्तिगत रूप से, मैं लास्टपास का उपयोग करता हूं - यह क्रोम के लिए एक एक्सटेंशन के रूप में मुफ्त, ठंडा और उपलब्ध है।
   
   
5. बैकअप! बैकअप, हर चीज का बैकअप, हमेशा और हर जगह। SQL सर्वर पर दैनिक कार्य बनाएँ जो स्थानीय और कहीं ऑनलाइन दोनों डेटाबेस को बचाएगा। यहां तक ​​कि मुफ्त एमएस SQL ​​सर्वर एक्सप्रेस में, आप कुछ प्रकार की नौकरी (टास्क-शेड्यूलर के माध्यम से) बना सकते हैं।
   
   व्यक्तिगत रूप से, मेरा बैकअप इस तरह काम करता है: दिन में दो बार सभी डेटाबेस की एक स्थानीय प्रतिलिपि बनाई जाती है। और सप्ताह में दो बार - एक दूरस्थ प्रतिलिपि। दूरस्थ प्रतियों के लिए, मैं Microsoft SkyDrive का उपयोग करता हूं - यह 25 गीगाबाइट ऑनलाइन संग्रहण है। मुफ्त में। बुरा नहीं है, है ना? फ़ोल्डर को सिंक्रनाइज़ करने के लिए एक उपकरण संलग्न है (जिसे विंडोज लाइव मेष कहा जाता है)। यदि आप धार्मिक कारणों से एमएस की तरह नहीं हैं - ड्रॉपबॉक्स या कुछ और का उपयोग करें, लेकिन इसका उपयोग करें!
   
   
6. फ़ायरवॉल ठीक है, यहाँ सब कुछ स्पष्ट है। मुख्य नियम "सब कुछ निषिद्ध है।" Windows 2008 R2 में एक बहुत अच्छा फ़ायरवॉल बनाया गया है, आप इसके साथ शुरू कर सकते हैं। पोर्ट 80 और 443 को खुला छोड़ दें (और आरडीपी के लिए शायद 3389), और यह बात है।
   
   
7. मानक बंदरगाहों का उपयोग न करें । यदि, वेब सर्वर के अलावा, आपको अभी भी कुछ "आउट" सेट करने की आवश्यकता है - उदाहरण के लिए, एक टर्मिनल सर्वर (उसी आरडीपी के लिए) या SQL सर्वर - गैर-मानक पोर्ट का उपयोग करें। कोई भी मुहावरेदार अर्थ जैसे 15089।
   
   टर्मिनल सेवा पोर्ट (वही "रिमोट डेस्कटॉप") यहां रजिस्ट्री में बदलता है: "HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Control \ TerminalServer \ WinStations \ RDP-Tcp / PortNumber" (फ़ायरवॉल पर इस पोर्ट को खोलने और RDP सेवा को पुनरारंभ करने के लिए मत भूलना )।
   
   SQL सर्वर पोर्ट उपयोगिता "SQL सर्वर कॉन्फ़िगरेशन प्रबंधक" - "नेटवर्क कॉन्फ़िगरेशन" - "[सर्वर नाम] के लिए प्रोटोकॉल" - "टीसीपी-आईपी" - राइट-क्लिक - "गुण" में बदल जाते हैं।
   
   
8. कोई फ़ोल्डर "/ व्यवस्थापक /" और अन्य "मानक" नाम नहीं है ।
   
   • आपकी साइट का CMS "site.com/admin/" फ़ोल्डर में नहीं होना चाहिए।
   • व्यवस्थापक खाते को "व्यवस्थापक" नहीं कहा जाना चाहिए।
   • लॉगिन पृष्ठों को "login.aspx / login.php / signin.py" नहीं कहा जाना चाहिए
   • और इसी तरह। और इसी तरह। - सूची को स्वयं जारी रखें।