Evde bir sunucunun periyodik olarak tüm müşterilerimin web sitelerinin yedeklerini alması makul bir fikir mi?
Evet, bazı önlemleri almanız koşuluyla
FTP erişimine sahip sunucu ile aynı ağa / yönlendiriciye bağlı bilgisayarlarım için herhangi bir güvenlik tehdidi var mı?
Evet, bazı önlemleri almazsanız
- Bulut sunucumun güvenliği ihlal edilirse ne olur? O zaman muhtemelen ev tabanlı yedek bilgisayarım da tehlikeye girecek çünkü bulut sunucusu ona bağlanabiliyor.
- Ev tabanlı yedekleme bilgisayarımın güvenliği ihlal edilirse ne olur? Neye erişimi var?
Bu nedenle, temel olarak her iki sistemin de tehlikeye girme riskini azaltmak ve aynı zamanda saldırganın her ikisini de / her ikisini de tehlikeye atmayı başarmaları durumunda ne gibi erişime sahip olacağını sınırlamak istersiniz.
Önlemler
- Kimlik bilgileri şifrelenmemiş olarak iletilebileceğinden, Linux kutusunda bir SSH sunucusu çalıştırabildiğinden ve dosyaları kullanarak bağlanıp aktarabildiğiniz için FTP'yi kullanmayın
scp. Alternatif - Linux, Mac veya Windows üzerinde çalışan bir SFTP veya SCP tipi sunucu bulun.
- Yalnızca yedekleme dizinine scp erişimi ve yedeklemeyi göndermek için yalnızca yeterli erişime sahip sınırlı bir SSH hesabı kullanın.
- Kimlik doğrulaması için özel bir anahtar kullanın
- Yukarıdaki adımlarla, uzak bulut sunucunuz bozulursa ve özel anahtar çalınırsa, bir saldırgan yalnızca zaten erişime sahip oldukları bir sunucunun yedeğine erişebilir!
- NAT / bağlantı noktası yönlendirme ve DMZ özelliklerine sahip bir güvenlik duvarı çalıştırın (bilinen güvenlik açıkları olmayan güncel bir ürün yazılımı varsa ISS'nizin WiFi yönlendiricisi bile olabilir - bunu bir kez daha kontrol edin - bazı eski ISS yönlendiricileri hatalarla dolu)
- Ev tabanlı yedekleme bilgisayarınızı bir DMZ'ye yerleştirin. Bu şekilde diğer bilgisayarlarınızın hiçbirine kolayca erişemez ve bu nedenle tehlikeye girerse tehdidi önemli ölçüde azaltır. Dahili ev ağınızdan 22 numaralı bağlantı noktasını DMZ'ye iletebilir ve yönetim / scp amaçları için daha yüksek ayrıcalıklarla oturum açabilirsiniz.
- Genel IP'nizden SSH hizmetinize rastgele bir yüksek TCP bağlantı noktası (örn. 55134) iletmek için NAT / bağlantı noktası iletmeyi kullanın - bu, hizmeti daha az kolayca almanızı sağlar
- Yönlendirilen bağlantı noktasının yalnızca uzak bulut sunucunuz tarafından görülmesi için güvenlik duvarındaki erişimi kısıtlayın
- Yedek bilgisayarınıza hiçbir gizli veri, SSH özel anahtarı, şifre vb. Koymayın. Bu şekilde güvenliği ihlal edilirse, bir saldırganın neye erişimi olduğunu daha da azaltırsınız.
- Tüm sistemleri / hizmetleri güncel tutun - özellikle bulut sunucusunda ve yedek PC'de. Güvenlik açıkları her zaman keşfedilmektedir ve örneğin, temel erişimi kök düzeyi erişimine dönüştürmek için saldırganlar tarafından kolayca kolayca kullanılabilmektedir. (ör. https://dirtycow.ninja/ )
Bu liste ideal senaryodur ve riskleri düşünmenize yardımcı olmalıdır. İSS yönlendiricinizin DMZ özelliği yoksa ve alternatif bir güvenlik duvarı kurmak için yatırım yapmak istemiyorsanız, bir uzlaşmadan memnun olabilirsiniz (kişisel olarak bundan memnun olmazdım) - bu durumda ben ana bilgisayar tabanlı güvenlik duvarlarının tüm dahili ağ bilgisayarlarınızda etkin olmasını ve güçlü parolaların kullanılmasını sağlar, tüm paylaşımlar / hizmetler vb. için kimlik doğrulaması gerektirir.
Başka bir kullanıcı tarafından önerildiği gibi bir alternatif (burada biraz daha ayrıntılıdır), yedeklemeleri üretmek ve bunları kullanılabilir hale getirmek için bulut sunucunuza komut yazmak ve yedek PC'nizi yedekleri çekmek için SFTP veya SCP (SSH) üzerinden bağlanacak şekilde komut vermek olacaktır. .
Bu işe yarayabilir, ancak SSH / SFTP bağlantı noktasını kilitleyin, böylece yalnızca yedek PC'niz ona erişebilir, sınırlı bir erişim hesabı kullanabilir ve aynı önlemlerden bazılarını düşünebilir. Örneğin, yedek bilgisayarınız tehlikeye girerse? Ardından bulut sunucunuz da tehlikeye girer, vb.