Безопасность VDS, Сервера

Сейчас сервер на debian но вопрос в целом хостинг-серверов касается.

Есть несколько VDS на них сайты, на некоторых сайтах есть поддержка php и вынужденно стоят chmod 777 на некоторые папки. Сайты в целом заброшены, но то вирус какой-нить закинут, то скрипт спамеров и мне потом пишут что на вас жалобы с вашего сервера рассылают спам.
Азы работы в консоли есть, всякие php.ini под себя настраиваю, но в системном администрировании я в целом плаваю.

Вопросы:

1. Есть ли возможность для конкретного юзера/сайта оставить право исполнения всех скриптов что бы сайт работал но запретить заливку любых новых файлов или изменение текущих?
(ну понятно что права можно сменить для всех файлов, но если мне когда-то поменять что-то надо будет, опять обратно права менять? это неудобно)

2. Есть ли возможность составить белый список разрешённых форматов файлов на сервере? Например мне недавно залили файл defines.php.suspected что за suspected? Погуглил, но ничего прям толкового не нашёл, понятно что вирус какой-то наверное... Например я бы хотел оставить разрешёнными форматы html, php, xml, .htaccess, gif, jpg, png и всё.

3. Злоумышленнику что бы залить шелл обязательно нужен ФТП? Есть отключить ФТП юзеру злоумышленник не сможет на сайты юзера вредоносный код загрузить, или есть ещё какие-то альтернативные способы загрузки&

4. Логи. Это ваще для меня тема непонятная, какие логи надо вести что в них нужно искать если вот такая неприятность случилась. Можно ли как-то автоматизировать анализ логов и присылать уведомления какие ни будь на почту если в них обнаружено что-то необычное?

Заранее благодарю.
Извиняюсь перед модераторами если не в том разделе, долго выбирал ))

0

Сообщение от marrk но запретить заливку любых новых файлов или изменение текущих?

Отключить FTP.

Сообщение от marrk Погуглил, но ничего прям толкового не нашёл, понятно что вирус какой-то наверное... Например я бы хотел оставить разрешёнными форматы html, php, xml, .htaccess, gif, jpg, png и всё.

В настройках FTP.

Сообщение от marrk 3. Злоумышленнику что бы залить шелл обязательно нужен ФТП? Есть отключить ФТП юзеру злоумышленник не сможет на сайты юзера вредоносный код загрузить, или есть ещё какие-то альтернативные способы загрузки&

Как минимум SSH еще.

Сообщение от marrk 4. Логи. Это ваще для меня тема непонятная, какие логи надо вести что в них нужно искать если вот такая неприятность случилась. Можно ли как-то автоматизировать анализ логов и присылать уведомления какие ни будь на почту если в них обнаружено что-то необычное?

access.log, error.log для веб-сервера.

А вообще почитайте про fail2ban, будет полезно.

1

А, да, SSH-то я у него не отобрал...

Разрешите ещё понубствую:

хотел оставить разрешёнными форматы html, php В настройках FTP

Куда именно копать? Где на сервере хранятся эти настройки ФТП (что бы я хоть погуглить о них мог)

chattr +i

Команда chattr позволяет изменять расширенные параметры файловый системы ext2 и ext3 для отдельного файла или директории: chattr +i - запрещено удаление, изменение или переименование (immutable)
Вопрос: а на подпапки действует? Типа: chattr +i www/site.ru/* Или для каждой отдельно команду надо давать?

Как минимум SSH еще

Где можно почитать для нубасов про взлом сервера. Начать хотя бы с того, как злоумышленник узнаёт есть вообще у этого пользователя SSH или нет?
Допустим стоит Options All -Indexes как имея доступ к одному пользователю он находит и грузит файлы в папку с 777 к другому пользователю? Ну и т.п. (что бы разобраться самому)

0

Сообщение от marrk Куда именно копать? Где на сервере хранятся эти настройки ФТП (что бы я хоть погуглить о них мог)

В зависимости о того, какое ПО установлено.
Посмотреть можно так:
или
Скорее всего вы увидите там надпись proftpd или vsftpd или pure-ftpd.

Сообщение от marrk Вопрос: а на подпапки действует? Типа: chattr +i www/site.ru/* Или для каждой отдельно команду надо давать?

Да, конечно.

Сообщение от marrk Где можно почитать для нубасов про взлом сервера. Начать хотя бы с того, как злоумышленник узнаёт есть вообще у этого пользователя SSH или нет?

Да никак он не узнает. Тупо брутит и все.
Смотрит nmap'ом/etc открытые порты сервера, и тупо по словарным паролям брутит пароль root от ssh.

0