Servidor Web Profesional para producción

[victorfz]

Hola he visto en la web muchos sitios donde explican como configurar un servidor WEb Linux+Apache+PHP+MYSQL (incluso vídeos) pero están muy bien para uso domestico y desarrollo pero no para producción.
Por lo que he visto el añadir seguridad a un servidor no es tarea fácil y es una responsabilidad muy grande y es por eso por lo que busco algo que ya este preconfigurado.
Alguien conoce si hay alguna distribución de linux que venta completamente configurara para explotación? Sobretodo por el tema de seguridad.
Saludos

[sysdebian]

Nada es seguro y mucho menos algo que simplemente instalas y dejas ahí.
Instala cada aplicación por ti mismo, entiendala y estate al tanto de todos los parches de seguridad que salgan y de las vulnerabilidades que te puedan afectar.
No solamente en LAMP, sino sistema operativo, librerias de las cuales tiran, aplicaciones que los usuarios instalen por encima, etc, etc...

[victorfz]

Hola sysdebian tienes razón pero lo que ocurre es que por mucho tiempo que yo le dedique se que hay profesionales que brindaran mejor el servidor que yo.
Sin ir mas lejos he visto este enlace http://elladodelmal.blogspot.com/200...he-iii-de.html y como este hay muchísimos mas y se explican detalles que uno por si mismo probablemente no llegaría a descubrir nunca.
Me parece extraño que o exista ningun server web linux preconfigurado para explotación ya que si hay para muchas otras cosas (centralita telefonia asterisk, estudio de redes wep...).
Solo he visto algunos que bienen con LAMP (Ej ubuntu Server) pero tienen detalles importantísimos que no se han tenido en cuenta (Ej cortafuegos).
Saludos

[cervera2]

victorfz, yo estoy en una situacion similar a la tuya, llevo casi un año para montar un servidor, mas de medio año desarrollando el proyecto y el restro realizando pruebas.
La verdad que el tema de servidores web, php.... no lo he tocado nunka, pero era tecnico de reparacion de equipos informaticos y mantenimiento en empresas, trabajo que he dejado para poder dedicarme exclusivamente a mi servidor.

Como "hobbi" llevo unos cuantos años estudiando la seguridad "vulneravilidades" de los equipos, y e llegado a la conclusion que no existe nada 100% libre de una intrusion virus.
Es muy dificil conseguir ser invulnerable, puedes tener mejor o peor seguridad pero siempre te quedara una duda, de que alguien encuetre un fallo.

Por supuesto si lo que buscas es un panel o aplicacion que ya este echa, en mi punto de vista pienso que suelen ser mas vulnerables, no siempre pero la mayor parte de las veces. Si tu reunes los mismos programas que ese conjunto de programas que vienen preinstalados y los instalas individualmente y puedes tratarlos individualmente (actualizaciones, configuraciones...)siempre podras lograr una mayor seguridad.
Si a eso le sumas un linux en vez de windows mejoraras vastante.
No estaria nada mal un firewall fisico para el control de accesos sin consumo de recursos de tu servidor.
Sistemas de compias de seguridad y si puede ser externalizado
Y sobre todo una buena administracion del sistema.

Supongo que me estoy haciendo competencia propia, pero me interesaria saber que opina la gente de mi opinion de un servidor medianamente seguro, ya de paso te echo un cable.
Atenteamente David

[victorfz]

Solo decir que con un servidor medianamente seguro me conformo ya que lo quiero como servidor de paginas PHP no para guardas las BDs de la seguridad y Hacienda...
El problema que veo en servidores como ubuntu server por ejemplo es que hay que hacer demasiados cambios para poder lanzarlo a internet (ej: al instalar el ftp si te descuidas cualquiera con user y pass para ftp puede explorar todo el sistema operativo).
Saludos

[sysdebian]

Iniciado por victorfz

Solo decir que con un servidor medianamente seguro me conformo ya que lo quiero como servidor de paginas PHP no para guardas las BDs de la seguridad y Hacienda...

debian estable + apache + php5 (y los pocos modulos que necesites) + vsftpd + "apt-get update && apt-get upgrade" frecuentemente.

Iniciado por victorfz

El problema que veo en servidores como ubuntu server por ejemplo es que hay que hacer demasiados cambios para poder lanzarlo a internet (ej: al instalar el ftp si te descuidas cualquiera con user y pass para ftp puede explorar todo el sistema operativo).
Saludos

A los usuarios de ftp, nunca se les debe de poner una shell valida de sistema, por lo que si alguien consiguiese un user/pass, no podría hacer otra cosa que entrar (solo por ftp), al espacio que tiene asignado ese usuario, que como esta "chrootado", solo podría borrar/modificar los archivos exclusivos de ese usuario.

[chcma]

1-. Instala la versión que quieras del apache y del php.
2-. Instalate el guarddog (GUI para administrar iptables) y prohibe todo el acceso o salida a internet. Guarda los cambios. Y luego empieza a dar permisos de entrada/salida de internet.
3-. Instalate el Nessus, y hazte un scan y valida que fallos y puertas traseras podrías tener y actualiza el sistema en lo que te diga.
4-. El ftp, que sea por obligación de tls, asi siempre se mandará todo encriptado.
5-. Para servidor de correo, recomiendo qmail. (Para instalarlo: http://www.qmailrocks.com)
6-. Instalate el snort(aplicacion para detectar intentos de ataques y registrarlos en un log), junto con alguna gui para visualizar los logs.

Creo que para empezar, con eso podría valer... Si alguien puede aportar mas, se lo agradecería.

saludos.

[victorfz]

Hola chcma, sysdebian y cervera2 supongo que tendré que ponerme manos a la obra...

Tengo un ubuntu server y un debian (Ambos sin entorno gráfico) configurados como servidores y con lo que me comentáis me pondre a darles seguridad...

chma tomo buena nota del guardog,Nessus y del tls ya que no los conocía.

El hacer el scan con Nessus supongo que me tranquiliza un poco ya que por lo menos ya hay "algo" que te dice que tu server es mas o manos seguro.

El servidor de correo no me lo planteo de momento (si para un futuro próximo) pero yo había oído hablar muy bien del Horde (para hacer un servidor delicado exclusivamente) con cual de los dos te quedas?

Bueno con esto tengo trabajo para tiempo pero si alguien se anima a dar mas sugerencias serán bienvenidas...

Quien sabe si se anima este hilo podríamos publicar los pasos para configurar un servidor web para producción 99.9% seguro desde 0 (si termino de configurarlo y tras varios testeos queda OK me comprometo a publicarlo con capturas de pantalla y todo) ya que este caso concreto lo lo he encontrado buscando por google (casi todos son servidores para desarrollo o domésticos).

Saludos

[franco190453]

Iniciado por sysdebian

Nada es seguro y mucho menos algo que simplemente instalas y dejas ahí.
Instala cada aplicación por ti mismo, entiendala y estate al tanto de todos los parches de seguridad que salgan y de las vulnerabilidades que te puedan afectar.

Coincido al 100% con sysdebian.
Te agrego a todo lo dicho una breve reseña de como se presentan los ataques.
1.- Hay ataques continuas dirigidos al sistema operativo especificamente y lo medular en estos casos son los puertos de escucha.
2.- Hay ataque dirigidos hacia los servidores web y en estos casos es necesario
te leas todo lo relacionado a seguridad con el Apache (Por ejemplo).
3.- Y a mi manera de ver el mas delicado ya que por esta via pueden hacerte daño incalculable son las aplicaciones.
Te resumo con esto: si tu pones un sitio pequeño con scripts como los que se pueden recopilar desde sitios como forosdelweb, que dicho sea de paso, son muy interesantes e ingeniosos pero carecen de ese concepto de seguridad tan importante hoy dia, estarias invitando a estos malos gusanos de nuestras sociedades a hacerte grandes daños. Y todo tu trabajo de un sistema operativo seguro y un servidor web seguro estarian siendo destruidos por un script NO seguro.
Saludos
Y espero te ayude.
Franco
P.S. En lo que respecta a correos la situacion es tan compleja como la primera y similar en muchos aspectos.

[victorfz]

Desde luego la programación de las páginas a publicar es muy importante.
Hace algún tiempo aprendi como se puede emplear de forma muy sencilla el famoso "SQL Injection" con lo cual en poco mas de cinco minutos puedes cargarte la base de datos y muchas cosas mas.
Saludos.

[chcma]

Estaría bien que la gente pusiera herramientas para realizar auditorias de seguridad. Creo que es un tema muy interesante.

Saludos.

[franco190453]

chcma:
Auditar tu sitio web lo hace empresas como esta ->
http://www.acunetix.com/
Esta gente lo hace hasta gratis e ingresan a tu sitio
y escanean todo.
Un sitio puede durar hasta varias horas
al final te detallan las vulnerabilidades, etc.
Saludos
Y espero te ayude
Franco

[victorfz]

franco190453 he probado el acunetix, esta muy bien y da información muy valiosa pero hay cosas muy evidentes que se salta (mi ubuntu server dice que 0 inseguridades y no tengo habilitado el cortafuegos).
Para lo que si es muy potente es para testear el código de las paginas publicadas.
Saludos

[chcma]

Muchas gracias por la info Franco !!! Seguro lo voy a probar... aun que prefiero aprender yo también. Ya sabes... "Mejor que te enseñen a pescar, que no te den el pez", jejejeje. Muy interesante el enlace.

Thanks.

Saludos.