Как обезопасить сеть и сервер?

Question

[AusTiN]

Привет, Хабр.

Ситуация:

Есть офис, в нём WiFi сеть, 4 компьютера разработчиков, на одном из них VirtualBox с SVN-сервером.

Есть сервер в датацентре, на нем nginx, MySQL и прочие прилегающие сервисы.

Была поставлена задача — по максимуму (чуть ли не в параноидальном режиме) ограничить доступ разработчиков к базе данных проекта и вообще к каким-либо конфиденциальным данным, и максимально защититься от проникновения в сеть\на сервер.


Мои соображения по этому поводу:


Офис:

1) Выключить WiFi broadcast — сложнее будет найти сеть. (Предполагается, что злоумышленник сидит под офисом с ноутбуком и брутит пароль).

2) Сменить ключ сети, ключ будет знать только я и шеф (Сотрудникам вводить ключи самостоятельно).

3) ???


Сервер:

1) Через iptables делать защиту от скана портов + меняем SSH порт — усложняем обнаружение порта SSH

2) Ограничить по IP доступ к SSH, сделать авторизацию по ключам (опять же, ключи у двух человек — у меня и у шефа)

3) Скрипт заливки проекта с локального SVN на тестовый или production вирт.хосты — была идея замены конфига «на лету» (т.е вставки в него корректных значений логина\пароля от БД)…

4) Выключить root login, получать права рута через sudo или su

5) MySQL — ограничить доступ по IP на локалхост и сервер мониторинга.

6) ???


Очевидные минусы (для меня):

1) Проект заливать с SVN на сервер смогу только я — мне лишняя головная боль, если меня нет то никто не зальёт…

2) Усложняется работа с базой, придётся иметь две копии (т.е dev-базу в офисе и product, и потом применять все изменения на product-е)

3) ????


Вопрос: Кто что думает по этому поводу? Предложения, пожелания? Критика приветствуется. =)

Спасибо!

Answer 1

[Bodik]

Насчет фаервола, и мониторинга подключений — блокировки айпишек (при обнаруженном скане портов) — ставь CSF ( LFD идет с ним) www.configserver.com/cp/csf.html. Очень хорошо себя зарекомендовал, и настройка легкая.

Answer 2

[charon]

> 2) Сменить ключ сети, ключ будет знать только я и шеф (Сотрудникам вводить ключи самостоятельно).

Это не поможет, выковырять пароль на вай-фай из любой ОС достаточно просто и для этого не требуется много знаний

Comments

[AusTiN]

ссылочку не подкинете? интересно было б почитать про выдергивание пароля на Win7

Answer 3

[NanoDragon]

Непонимаю в чем проблема Wi-Fi сети, я на Wifi вообще пароль не ставлю, зачем? Зачем парится с ключами и еще чем то там.
Есть OpenVpn его и юзаем. Пусть снифят OpenVpn трафик мне не жалко.

Answer 4

[nill]

Тут два решения. Первое, — полный отказ от wi-fi. Второй намного сложнее, это чудная настройка wi-fi c модификацией самого wep(вброс левых пакетов), PEAP авторизацией и полностью шифрованный трафик(openVPN). Естественно подсоединится с телефона будет невозможно.
ps и запомните абсолютно любой wi-fi ломается умелыми руками с хорошей картой, желательно на prism2 =)

Comments

[Sergey]

давайте-ка, поломайте WPA2-AES/WPA2-EAP ))
Ох уж эти «взломщики»… Наломались соседских WEP-сетей и «любой wi-fi ломается умелыми руками»

[nill]

Если мне не изменяет память японцы взломали навороченные wpa летом, причем за неприлично малое время

[mikes]

как раз ломали WPA/WPA2-PSK но никак не eap

Answer 5

[perl_demon]

Думаю что основная проблема это наличие Wi-Fi. Есть возможность отказаться от него?

Comments

[AusTiN]

слабая, но есть. я уже подал эту идею…

[AusTiN]

просто почти у всех разработчиков не десктопы, а ноутбуки — поэтому и WiFi… проводом в роутер подключены только мой комп и принтер :)

Answer 6

[mikes]

отказаться от wpa-eap wpa2-psk и перейти на wpa2-eap с авторизацией через radius в AD или(и) на основе сертификатов
сервер вынести в DMZ защитив его чем нить вроде cisco ASA или PIX, опять же с авторизацией и правилами

Comments

[AusTiN]

AD нету… думаете, стоит заморачиваться на отдельную железку для AD и роутинга инета?

[AstonMartin]

На отдельную железку для АД точно не стОит.

[mikes]

нужно понять что именно мы хотим от АД… если не нужно централизованное управление, единый вход и тд… то достаточно вести базу пользователей в самом радиусе в таком случае, если все же нужны единые логины и пароли на все… то можно и самба использовать.

В любом случае виртуализацию никто не отменял пока что, ставьте vmware esx (ну или что кому религия позволяет) и внутри можно расположить все что захочется

Answer 7

[mikes]

рано нажал отправить… между cisco и офисом vpn что бы получать доступ серверу из офиса и клиентов «на выезде» если таковые есть… ну и портмап для доступа к нему из интернета обычных пользователей.

понятно что сам сервер не может инициировать никаких соединений в такой схеме

Answer 8

[Александр]

Орг меры:
доступ на «поляну» (продакшен) — только админ (дубликаты паролей в сейфе у Руководителя)
Ответственный за деплоймент один чел (или два) — админ (и руководитель группы).

Я работал в одной параноидальной конторе — там девелопмент и интернет были разделены физически — разные сети. (на рабочем месте два компа — девелопмент и интернет). Скачиные файлы из интернет через самбу заливалось на шаред папку, от туда на девелопмент комп. Из девелоперской сети — доступ RO, так что система нипель: «сюда дуй — обратно х*й»

Минус такого подхода: лишний комп на разработчика, плюс — хрен сопроеш исходники, базу данных… Можно только распечатать (принтер в кабинете у нач отдела) или снять на видео.

Тех меры:
если нельзя отказаться от WiFi
то строгая маршрутизация по IP и привязка mac
ни каких DHCP! только статические разрешенные IP.

настройка доступа по SSH продакшена — на определенный IP. Возмите у провайдера еще один IP (обычно на компанию дают три штуки не меньше). Один будет строго админский, один на роутер для всего офиса. Если злоумышленик пролезет в сеть — он не сможет пролезть на продакшен.

Answer 9

[NanoDragon]

Менять порт SSH не стоит, его все равно не сломают. А если люди могут сломать SSH? то найти порт SSH им труда не составит. Так что я думаю это только навредит.