Sziasztok!
Van egy Debian alapú webszerverem (kb 3 éve lett telepítve).
Kb 25-30 főleg drupal alapú weboldal van rajta. ISPConfig-ot használok a virtual hostok beállítására.
A gondom az, hogy néha "megtörik?", bemennek rá valahogy, s tömeges levélküldésre használják, illetve segítségével valahogy támadnak más webszervereket.
Olyan hozzáértőt keresek, aki rá tudna nézni távolról, felkutatná a sérülékenységeket, javaslatot tenne a biztonsági beállításokra, és ezeket meg is tudná csinálni.
/ Sajnos, csak konyhanyelven tudom megfogalmazni a problémát /
Több infó:
p.abonyi@gmail.com
- 2310 megtekintés
Hozzászólások
Az a baj, hogy a biztonsaggal nem egyszer kell foglalkozni, hanem folyamatosan. Az audit dicseretes dolog, de a biztonsagi szemleletnek a mindennapos uzemeltetes reszet kell kepeznie.
--
Pásztor János
Sole Proprietor @ Opsbears
Development Lead @ IXOLIT
Refaktor Magazin
- A hozzászóláshoz be kell jelentkezni
Igen, ezt én is tudom.
Őszintén megmondom: még kevés ügyfelem van így alig termeli ki a fenntartási díjat is, így nem tudok alkalmazni főmunkaidőre rendszergazdát.
- A hozzászóláshoz be kell jelentkezni
Az a baj, hogy ha az ugyfeleid onalloan telepitgetnek szoftvereket, akkor eleg nehez ugy megcsinalni a szervert, hogy ne tudjon kimenni szemet rola. Plane, ha nem kenyszerited az ugyfeleidet arra, hogy frissitsek a mindenfele open source CMS-eiket.
--
Pásztor János
Sole Proprietor @ Opsbears
Development Lead @ IXOLIT
Refaktor Magazin
- A hozzászóláshoz be kell jelentkezni
Ügyfeleim nem szoktak telepítgetni szoftvereket. / Legalábbis nem nagyon./ Általában én csinálok meg mindent.
Webhely és email beállítást, drupal alapú oldalakat.
- A hozzászóláshoz be kell jelentkezni
Nem, vagy nem nagyon? Nem mindegy. nagyon nem. Egy audit az aktuális állapotról tud valamilyen szintű infót adni, illetve az ott feltárt, ismert sérülékenységekről fogod tudni, hogy be kell foltozni. Viszont minden, a vizsgálat időpontját követően kiderülő sérülékenység, de akár egy konfigurációs módosítás következtében előállhat simán egy olyan helyzet, hogy az auditból "kiesett" lukaknál komolyabb problémát kell kezelni, méghozzá sürgősen.
- A hozzászóláshoz be kell jelentkezni
Nem lehet, hogy saját szerver helyett egy viszonteladói tárhely lenne a jobb, amit aztán fel tudsz osztani az ügyfeleid felé? 100k alatt kijössz évente és nem kell a szerver adjusztálással foglalkozni.
- A hozzászóláshoz be kell jelentkezni
+1
Az eredeti kérdésből és a commentekben írt válaszaidból ítélve nem kéne ezt erőltetned. Ráadásul az itt kapott mindenféle szakmai tippel (ezt meg azt telepíts, így meg úgy állítsd be a PHP-t, stb..) csak még jobban bemész az erdőbe, tippem szerint még azt sem tudnád megválaszolni hogy jelenleg hogy van beállítva.
Megbízást pedig minimum folyamatos üzemeltetésre kéne adnod valakinek ahhoz, hogy előrelépj. Ez nem jelent főállású rendszergazdát, de ennek a költsége is jóval magasabb mint egy tisztességesen karbantartott tárhelyé. A kettő között nincs életképes megoldás, az nem fog működni, hogy valaki "ránéz" neked egyszeri díjért, aztán megy minden tovább az idők végezetéig (de ezt már megírták).
Szóval vegyél egy ilyen tárhelyet, migráld át rá az ügyfeleket, és aludj nyugodtan. Majd ha nagyobbra nősz, akkor előveheted újra a saját szerver(ek) kérdést, akkor már lesz kereted szakértőre/üzemeltetőre is.
- A hozzászóláshoz be kell jelentkezni
+1
Ezesetben foglalkozhatnál azzal, amivel jelenleg is: sales and support.
- A hozzászóláshoz be kell jelentkezni
Ha rendszergazdára sem telik, akkor miből szeretnél biztonsági szakembert fizetni??
Ez így eleve halott ügy. Mert mondjuk hogy találsz valakit aki elvállalja, és mondjuk ki is tudod fizetni... De folyamatos felügyelet nélkül másnap/egy hét múlva/egy hónap múlva majd megint "megtörik"
+
Ha Te, mint nem hozzáértő is így fogalmazol hogy "néha megtörik" akkor a gyakorlatban általában az van, hogy a géped tulajadonképpen bárkié, csak épp nem a tiéd. Egészen biztos lehetsz benne, hogy egy szakember azt fogja mondani már erre, hogy oké, akkor nézükk mit szeretnél, és kezdjük nulláról a telepítését.... (Én biztosan ezt mondanám)
Persze, biztos kapsz itt mindefélé jókis tuti tippet, és/vagy valaki majd megoldja neked okosban. De biztos lehetsz benne, hogy folyamatos felügyelet nélkül nem lesz hosszútávú a siker.
Vígasztalhat mondjuk, hogy sokan így kezdik, sőt több nagyobb szolgáltató jelenleg is ugyan ilyen problémákkal "küzd". Tehát lehet így, ilyen szolgáltatással is pénzt keresni ;)
Szerintem.
--
zrubi.hu
- A hozzászóláshoz be kell jelentkezni
+2 :)
- A hozzászóláshoz be kell jelentkezni
"De biztos lehetsz benne, hogy folyamatos felügyelet nélkül nem lesz hosszútávú a siker."
A nem hosszútávú siker nem is olyan nagy probléma ahhoz képest, hogy valami pórul járt ügyfél - szerződésben foglaltaktól függetlenül - durciból pörre megy. Ha pedig a bíróság előtt van egy ügy, annak a kimenetele pszeudo-random.
"... lehet így, ilyen szolgáltatással is pénzt keresni ;)"
Itt is igaz a vállalkozások paradoxona: a korlátokat nem ismerők többen vannak a profitálók mezőnyében, mint azok, akik ismerik, és azok ellen küzdenek.
Mivel SOKKAL nagyobb létszámban indulnak a rajtnál, még tömeges kiesés után is többen maradnak.
- A hozzászóláshoz be kell jelentkezni
"Egészen biztos lehetsz benne, hogy egy szakember azt fogja mondani már erre, hogy oké, akkor nézükk mit szeretnél, és kezdjük nulláról a telepítését.... "
+1
Eleve nem szoktam én sem elvállalni ilyen "meglévő szerver rendbetételét". Mert nem ismerem az előéletét, nem tudom mi hogy volt megcsinálva... Meg amúgy is, csak foltozgatás.
--
The Community ENTerprise Operating System
- A hozzászóláshoz be kell jelentkezni
Pedig lehet versengeni érte a 10 usd ért megcsinálom Indiaiakkal. :)
(és bukni azzal, hogy nem vagy magabiztos :D)
Mégis ki vállalna garanciát egy agyontört szerverre. :)
- A hozzászóláshoz be kell jelentkezni
+1
(Meg az is baj, hogy webkiszolgálót üzemeltethet az is aki nem ért hozzá. Úgy néz ki erre is van ügyféligény és a piacon évekig életben tud maradni az ilyen vállalkozás. Persze a felhasználók nem látják a mögöttes tartalmat, max. az árat.)
- A hozzászóláshoz be kell jelentkezni
+1000 a ()es részre.. Főleg az itteni esetben ..
- A hozzászóláshoz be kell jelentkezni
Mi használja tömeges levélküldésre? :)
PHP legalább loggolja a mail függvényt? (ha már gondolom engedélyezve van)
Első körbe ki kellene deríteni mi küldi a levelet, aztán, hogy az a mi, hogyan került oda. :)
- A hozzászóláshoz be kell jelentkezni
plusz a phpmailt le kellene tiltani jol. SMTP auth legalabb. (ezt meg mindig irni kell 2016-ban really ???)
Es most johetnek a valaszok miszerint
hademifaszaszolgaltatokvagyunk es a zugyfelek csak phpmaillel kuldenek.
Most mar van 800+ oldalam mindenhol allitgatni kellene
Igen egyszer ra kell szanni az idot es elkezdeni takaritani (erre is) vagy lehet nyitni ket het mulva megint topicot hogy feltortek levelet kuldtek deface volt honnan jottek be etc...
- A hozzászóláshoz be kell jelentkezni
- A hozzászóláshoz be kell jelentkezni
Érdeke mer az ISPConfig oldalán írnak egy pont erre szakosodott modult : https://ispprotect.com/
- A hozzászóláshoz be kell jelentkezni
ingyen tanács:
drupál meg egyéb mocskot rendszeresen frissíteni kell, mert feltörik mint a szart.
talán még a shell_exec is engedélyezve van a szerveren?
- A hozzászóláshoz be kell jelentkezni
Hát nagyon remélem, hogy 2016-ban már nem kell kitérni a shell hívások tiltására.
- A hozzászóláshoz be kell jelentkezni
Szerintem teljesen mind1, hogy 2016, 2005, vagy 2025 van. Ha valaki kezdo es most kezd ismerkedni a szakmaval akkor nyilvanvaloan rengeteg uj inforol hall amirol te/en/sokan mar 10 eve hallottunk. O meg lehet tiz eve meg a csattogos lepket tologatta.
- A hozzászóláshoz be kell jelentkezni
Ja és a crapanelek előszeretettel használják. (de azok ugye jobb esetben nem látszanak kívülről :))
- A hozzászóláshoz be kell jelentkezni
Nem az a problema, hogy ujonc, hanem hogy az jon le a hozzaszolasbol, hogy inkabb webfejleszto, mint admin.
- A hozzászóláshoz be kell jelentkezni