Die richtige Konfiguration, um den Server abzusichern

Um maximale Freiheit bei der Konfiguration zu genießen, ist das Hosting eines eigenen Servers die optimale Lösung. Eine adäquate Alternative stellen Dedicated Root Server dar, die bei vielen Anbietern gemietet werden können und Zugriff auf das Root-Konto gewähren. Die elementaren Verwaltungsschritte wie Installation, Strukturierung und Instandhaltung des Servers liegen aufgrund dieser Berechtigung allerdings ebenso im Verantwortungsbereich des Mieters, wie es bei einer selbst gehosteten Variante der Fall wäre. Der Anbieter kümmert sich bei einem derartigen Server-Paket in der Regel nur um eine Erstinstallation des Betriebssystems – sofern diese erwünscht ist.

Unabhängig von der gewählten Hosting-Lösung sollte man bei der Gestaltung und Nutzung des Root-Kontos umsichtig und verantwortungsvoll vorgehen. Vor allem das Thema Sicherheit spielt hierbei eine wichtige Rolle: Denn einerseits wirkt sich ein fehlerhaftes Vorgehen im Root-Bereich besonders schwer aus, andererseits lässt sich bei korrekter Vorgehensweise die perfekte Basis für einen stabilen, leistungsstarken und sicheren Server schaffen. Um beispielsweise einen Dedicated Server abzusichern und vor externen Zugriffen zu schützen, ist die obligatorische Passwortänderung nur eine der vielen notwendigen Maßnahmen, mit denen sich die Server-Sicherheit erhöhen lässt.

Bereits bevor Sie mit den eigentlichen Vorkehrungen beginnen und Ihren Server sicher konfigurieren, können Sie das spätere Sicherheitspotenzial Ihres Webprojekts beeinflussen. Vollkommen unabhängig davon, ob Sie sich für ein Windows- oder ein Linux-System entschieden haben, gilt bei der Installation nämlich folgender Grundsatz: Ein Server sollte nur diejenige Software enthalten, die er zur Erfüllung seiner Aufgaben benötigt. Hintergrund ist, dass jede installierte Anwendung ein potenzielles Sicherheitsrisiko bedeutet und sich auch negativ auf die Performance auswirken kann. Um Angreifern möglichst wenig Angriffsfläche zu bieten, sollten Sie daher lediglich die notwendigen Systemkomponenten installieren bzw. aktivieren und nur auf verifizierte Drittsoftware zurückgreifen.

Im Anschluss an die Installation sollten Sie zuallererst ein Root-Passwort (Linux-Systeme) setzen. Standardmäßig ist hierfür kein Wert definiert und damit auch das Administrator-Konto blockiert, bis Sie eine entsprechende Eingabe machen. In der Regel fordert Sie das jeweilige Betriebssystem nach der Installation automatisch auf, einen Nutzer-Account inklusive Passwort anzulegen, der fortan als Root-Zugang fungiert. Wenn Sie Ihren Server bei einem Provider gemietet und einen bestehenden Root-Log-in erhalten haben, müssen Sie das Passwort ändern. Zu diesem Zweck melden Sie sich entweder via SSH (von einem Linux-System aus) oder PuTTY (von einem Windows-System aus) auf Ihrem Server an und geben den folgenden Befehl in das jeweilige Terminal ein:

Nachfolgend können Sie Ihr Passwort definieren, das Sie anschließend noch verifizieren müssen. Achten Sie darauf, ein möglichst langes Kennwort zu wählen und dabei nicht nur auf Buchstaben, sondern auch auf Sonderzeichen und Zahlen zurückzugreifen. Zudem ist es empfehlenswert, das Passwort mithilfe eines Passwort-Managers abzuspeichern, um es im Zweifelsfall jederzeit parat zu haben. Versuchen Sie nun, eine Verbindung mit dem neuen Root-Log-in aufzubauen. Funktioniert dies wie gewünscht, können Sie die zu Beginn genutzte SSH-Verbindung wieder trennen.

Um Ihren Server abzusichern, ist es darüber hinaus empfehlenswert, den direkten SSH-Log-in für das Root-Konto zu sperren. Andernfalls könnte ein Angreifer, der in den Besitz des Passworts gelangt ist, mithilfe des Root-Kontos aus der Ferne auf den Server zugreifen. Bevor Sie diese Maßnahme durchführen können, benötigen Sie neben dem Root-Nutzer jedoch mindestens einen weiteren Benutzer-Account, der sich mit dem Server verbinden kann, um anschließend nicht komplett vom System ausgesperrt zu sein. Wenn Sie noch kein entsprechendes Nutzerprofil erstellt haben, legen Sie es mit dem nachfolgenden Befehl an:

Auf diese Weise erzeugen Sie den Benutzer-Account nutzer1, der zusätzlich der Gruppe users hinzugefügt wird (-g). Ferner wird diesem Nutzerprofil das Homeverzeichnis /home/nutzer1 zugeordnet (-d). Als Standard-Shell gibt das Kommando die Bash-Shell (-s /bin/bash) vor. Im Anschluss definieren Sie ein sicheres Kennwort für dieses neue Log-in-Konto:

Testen Sie nun, ob die Anmeldung mit dem erstellten Benutzerkonto funktioniert, und fahren nur im Erfolgsfall mit dem eigentlichen Vorhaben – dem Aussperren des Root-Kontos – fort. Für dieses benötigen Sie erneut die SSH-Konfigurationsdatei sshd_config, die Sie mit dem Editor Ihrer Wahl öffnen. Suchen Sie nach dem Eintrag „PermitRootLogin yes“ und ersetzen diesen durch „PermitRootLogin no“. Nach einem Neustart des SSH-Dienstes via Kommandozeilenbefehl

in den Root-Account, falls Sie diesen noch einmal benötigen. Über die Zeile AllowGroups können Sie in der Konfigurationsdatei außerdem festlegen, welche Nutzer sich via SSH mit dem Server verbinden dürfen. Zu diesem Zweck erstellen Sie einfach eine Gruppe (addgroup) und fügen dieser die gewünschten Nutzer hinzu (adduser). Anschließend ergänzen Sie den gewählten Gruppennamen in der sshd_config (z. B. AllowGroups ssh_nutzer).

Wie auch immer Sie im Detail bei der Absicherung des SSH-Zugangs zu Ihrem Server vorgehen, sollten Sie im Nachhinein unbedingt alle Remote-Aktivitäten im Auge behalten. Auf diese Weise können Sie feststellen, ob Sie den SSH-Service Ihres Servers korrekt abgesichert haben. Gleichzeitig sind Sie durch ein gutes Monitoring der aufgebauten Verbindungen im Fall eines unbefugten Zugriffs frühzeitig gewarnt und in der Lage, entsprechende Gegenmaßnahmen zu ergreifen. Dafür reicht bereits ein einfaches Shell-Skript aus, das automatisch bei jeder erfolgreichen Remote-Anmeldung auf Ihrem Server eine Benachrichtigungs-E-Mail an Ihre Adresse versendet.

Ein entsprechendes Skript (hier: /opt/shell-login.sh), das Sie problemlos selbst erstellen können, muss zu diesem Zweck lediglich folgenden Code beinhalten:

Anschließend gilt es, in der Datei /etc/profile folgende Zeile hinzuzufügen:

Mit diesem Eintrag sorgen Sie dafür, dass das Skript ausgeführt wird und im Fall eines erfolgreichen Log-ins mit der Benachrichtigungsmail an die gewünschte Adresse reagiert. Voraussetzung ist, dass dem Skript das Recht 755 zugewiesen ist, was Sie mit dem nachfolgenden Kommando erreichen:

Frei von den im vorherigen Abschnitt erwähnten Sicherheitslücken ist generell wohl keine Software. Die ausnutzbaren Fehlprogrammierungen müssen von Cyberkriminellen jedoch zunächst einmal entdeckt werden, bevor sie zum Angriff ausholen können. In der Regel werden bekannt gewordene Schwachstellen aber mithilfe von veröffentlichten Updates innerhalb kürzester Zeit wieder geschlossen. Wenn Sie sich regelmäßig über Aktualisierungen für das Betriebssystem und die installierten Programme informieren und neue Updates zeitnah aufspielen, sorgen Sie diesbezüglich für den bestmöglichen Schutz Ihres Servers. Fast alle Serversysteme ermöglichen darüber hinaus, wichtige Sicherheitsupdates auch automatisch im Hintergrund herunterzuladen und zu installieren.

Wenn Sie beispielsweise einen Windows-Server durch automatische Updates absichern wollen, haben Sie im „Windows Update“-Bereich die Möglichkeit, konkrete Richtlinien für den Aktualisierungsprozess festzulegen. Auf diese Weise konfigurieren Sie, wann und in welcher Regelmäßigkeit nach Updates gesucht werden soll, ob gefundene Aktualisierungen gleich installiert werden sollen und wann das System anschließend einen Neustart durchführen soll. Für Linux-Systeme existieren spezifische Skripte wie apt-listchanges oder apticron, die Sie täglich über neue verfügbare Softwarepakete informieren und diese auch herunterladen. Weitere Skripte wie unattended-upgrades übernehmen dann im Anschluss die automatische Installation.

Hacker, die sich Zugang zu Ihrem Server bzw. den darauf laufenden Anwendungen verschaffen wollen, haben dafür prinzipiell verschiedene Optionen. Eine der einfachsten und meistgenutzten Angriffsarten ist die sogenannte Brute-Force-Methode. Bei dieser versucht der Angreifer mithilfe eines Tools, das eine Log-in-Möglichkeit nach der anderen ausprobiert, an Passwörter zu gelangen. Je sorgfältiger Sie bei der Vergabe Ihrer Kennwörter waren, desto unwahrscheinlicher ist allerdings, dass diese Methode zum Erfolg führt. Insbesondere, wenn Sie einen Dienst mit Anmeldemechanismus anbieten, müssen Sie jedoch davon ausgehen, dass nicht jeder Nutzer bei der Auswahl so gewissenhaft und vorsichtig vorgeht, wie es von Nöten wäre.

Für einen Schutz gegen derartige Angriffe bedarf es erfreulicherweise keiner komplexen, teuren Software: Da jeder Log-in-Versuch von Ihrem Server registriert, beantwortet und in Log-Dateien aufgezeichnet wird, können einfache Analyse-Tools Abhilfe schaffen. Fail2ban (Linux-/POSIX-Systeme) oder RdpGuard (Windows) überprüfen die relevanten Log-Files, erkennen ungewöhnliches Verhalten und blockieren die IP-Adresse verdächtiger Nutzer. Dabei können Sie individuell einstellen, nach wie vielen Fehlversuchen die Sperre verhängt werden oder wie lange diese gültig sein soll.

Mit den empfohlenen Konfigurationsvorschlägen erhöhen Sie die Server-Sicherheit erheblich. Die verschiedenen Einstellungen für den Anmeldevorgang und die Einschränkung des Root-Kontos verleihen Ihrem Server im Zusammenspiel mit stetigen Updates, Monitoring-Tools und der obligatorischen Sicherheitssoftware einen sehr hohen Sicherheitsstandard. Allerdings können auch die beste Konfiguration und eine engagierte Pflege nicht für einen einhundertprozentigen Schutz des Servers sorgen. Programmfehler, Hardwareausfälle oder Eigenverschulden führen leicht dazu, dass im ungünstigsten Fall dennoch Daten verloren gehen. Eine weitere stützende Säule Ihres Sicherheitssystems sollte daher die passende Back-up-Strategie sein, die es Ihnen in einem solchen Fall ermöglicht, die entsprechenden Dateien wiederherzustellen.

An leistungsstarken Tools, die Sie nicht nur beim Anlegen, sondern auch beim Einspielen der Sicherheitskopie unterstützen, mangelt es in jedem Fall nicht: Eine kostenfreie Anwendung, die an dieser Stelle erwähnt werden soll, ist das Synchronisierungs-Programm rsync, das seinen Namen von dem gleichnamigen Protokoll hat und in verschiedenen Varianten für nahezu alle gängigen Plattformen (macOS, Windows, Linux) verfügbar ist. Dieses Tool hält die Kopie Ihrer Serverdaten auf dem aktuellen Stand, indem es sämtliche Veränderungen am Original in Echtzeit übernimmt. Neben dem allgemeinen Back-up des Servers gehört schließlich auch die Sicherung der Datenbank(en) zum Pflichtprogramm.