OTRS-Server Sicherheitskonzept

[Kobadelacasa]

Hallo Zusammen,

wollte mal nachhören, welche Sicherheitskonzepte bei euch zum Tragen kommt, bei der Betreibung des OTRS-Servers (Linux basiert), dieser auch öffentlich zugänglich ist.

[Wolfgangf]

- natürlich hinter der Firewall in der DMZ
- fail2ban

[jojo]

"normales" Linux Haredning. Nur Dienste die auch wirklich benötigt werden laufen lassen. ssh Zugänge auf ein von extern nicht direkt erreichbares Wartungsnetz binden

[Kobadelacasa]

Das wäre so an sich meine Ideen gewesen.

Was empfiehlt mir ihr so als Sicherheitskatalog?

@jojo: Wie hast du das gemeint, dass nochmals in ein extra Wartungsnetz zu stellen die SSH-Anbindung, dass habe ich nicht so ganz nachvollziehen können.

[jojo]

der SSH Daemon sollte nur auf eine private Adresse gebunden sein, die sich nur über ein internes/VPN Netz erreichen lässt.

[Kobadelacasa]

Wie sieht es aber aus, wenn SSH zu Wartungszwecken extern erreichbar sein soll, weil z.B kein VPN im Einsatz ist?

[jojo]

dann Fail2Ban, kein root Login, Log in nur via Key statt Passwort

[Kobadelacasa]

Okay.

Um es nochmal zusammenzufassen, welche Hardenings in Betracht kommen:

- nicht benötigte Dienste abschalten
- DMZ
- Fail2ban
- SSH password-less via Public Key Authentication

Gibt es noch weitere sinnvolle Maßnahmen, die sich durchführen lassen?

[jojo]

es gibt sehr viele Sinnvolle Maßnahmen um Linuxserver sicher zu betreiben. Ein paar davon sind abhängig ob das System in einem Rechenzentrum oder in Eurem Netz betrieben wird.

Über das Thema gibt es tonnenweise Bücher und viele Kurse...

[Kobadelacasa]

Das stimmt.
Vorweg, kann ich sagen..soll das ganze in einem Rechenzentrum betrieben werden, welches wir selber im Firmennetzwerk betreiben. Somit kein Outsourcing.

Natürlich, kann man Sicherheitskonzepte bis auf das ultimo füllen, ich möchte natürlich nur die wichtigsten Punkte.

[jojo]

und dann habt Ihr kein Wartungsnetzwerk?

[Kobadelacasa]

Ich weiß immer noch nicht, worauf du hinaus willst in Bezug auf "Wartungsnetz" - also was es gewinnbringend im Gegensatz zu ner normalen privaten IP-Adresse bringt, da das Netz sowieso per NAT-Router getrennt ist.

[jojo]

also hat der Server keine echte von extern erreichbare Adresse... das hast Du bisher nicht erwähnt. Wenn Du nur die benötigten Ports (https) an den OTRS Server weiterleitest dann ist ssh auf der internen Adresse erstmal ausreichend abgeschirmt

[Kobadelacasa]

Joa...Im Grunde, eine öffentliche IP-Adresse, wo die Pakete mit Ports durchnummiert werden. Und intern natürlich auf private IP-Adressen gesetzt werden.