Comment puis-je tester la sécurité de mon serveur ?

Télécharger Backtrack et lancez AutoPwn de FastTrack sur votre serveur. Il s'agit d'une approche entièrement automatisée, mais c'est un moyen efficace et peu coûteux de trouver les fruits à portée de main.

Si vous avez des composants web, SkipFish est un autre excellent outil de test automatisé.

Il existe de nombreux tests que vous pouvez effectuer et de nombreux outils disponibles pour les tester. Pour commencer, vous pouvez lancer Nikto .

Même si vous pensez que les utilisateurs ne peuvent pas télécharger de fichiers, une faille de sécurité dans les applications ou les services peut prouver le contraire, comme beaucoup l'ont appris à leurs dépens. Partez toujours du principe que votre système est défaillant et vulnérable et cherchez des moyens de le réparer, avant que quelqu'un d'autre ne trouve les failles à votre place.

Si vous avez accès au système, vous pouvez trouver les ports qui peuvent être ouverts en utilisant netstat . Il peut énumérer tous les ports d'écoute. Les pare-feu et autres mesures de sécurité peuvent atténuer le risque.

Faites correspondre cette liste à une analyse à distance. Examinez tous les ports que l'analyse à distance montre et qui ne sont pas listés par netstat. Il ne devrait y en avoir aucun qui ne soit pas pris en compte par les règles DNAT d'un pare-feu.

Désactivez les services dont vous n'avez pas besoin. Il était autrefois courant d'enregistrer une variété de services inutiles en cours d'exécution. Beaucoup étaient triviaux, comme Chargen, Time, Daytime, et autres. Certains étaient importants comme Telnet, FTP, HTTP.

Pour les services uniquement nécessaires en interne, configurez-les pour écouter sur 127.0.0.1 et/ou ::1 (IPv6) si possible.

BackTrack FastTrack's AutoPwn est bon pour les très vieux serveurs avec de très vieux paquets installés. Si vous avez un linux/Windows moderne et mis à jour, il ne trouvera rien. (J'aime bien Backtrack mais c'est un outil sérieux qui nécessite des connaissances approfondies en matière de sécurité et de pen testing).

Je vous recommande d'installer et de scanner votre serveur avec Nessus, il est assez puissant (même si la version gratuite n'a pas les dernières signatures de vulnérabilité) et peut non seulement scanner les ports ouverts et les logiciels vulnérables à distance, mais aussi se connecter au serveur avec des informations d'identification root et effectuer un audit local.

Ce n'est qu'un outil, il ne suffit pas à rendre votre serveur "sûr", mais avec, par exemple, les conseils de weeheavy, vous pouvez vous en rapprocher.

J'ajouterais également le suivi. Installez OSSEC ou son analogue (tripwire, etc.), vous voulez être averti si quelque chose de bizarre se passe sur le serveur en temps réel par email/sms/etc.