Abschlusscheck: Ihr Server auf dem Prüfstand

Modul 10: Sicher bleiben · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie Ihren eigenen Server mit einer Checkliste und einer automatischen Kontrolle von außen beurteilen. Sie wissen, welche Punkte Vorrang haben, und Sie haben einen festen Wartungsrhythmus und ein kurzes Serverdossier.

Kernbegriffe: Checkliste, Priorität, Kontrolle von außen, Serverdossier, Wartungsrhythmus (wöchentlich, monatlich, vierteljährlich, jährlich), Supportende des Release, Wiederherstellungstest

Von einzelnen Lektionen zu einem Ganzen

In diesem Kurs haben Sie einen Server Schritt für Schritt eingerichtet: sichere Anmeldung, Rechte, Updates, Firewall, Dienste, eine Website mit https, Backups, Überwachung und Container. In dieser letzten Lektion fassen Sie alles in einer Liste zusammen. Sie prüfen Ihren Server, lassen das Kursprogramm von außen einen Blick darauf werfen und halten fest, wie Sie den Server in den kommenden Jahren pflegen.

Ein Server ist nie "fertig". Software veraltet, Zertifikate laufen ab, Festplatten laufen voll, Releases erreichen ihr End of Life. Ein fester Rhythmus ist deshalb genauso wichtig wie die erste Einrichtung.

Die Checkliste, nach Wichtigkeit geordnet

Nicht alles ist gleich dringend. Gehen Sie die Liste von oben nach unten durch: Die ersten Blöcke verhindern den meisten Ärger.

Block 1: Niemand kommt einfach herein (Modul 2, 3, 5)

• Anmeldung nur mit Schlüsseln; PasswordAuthentication no und KbdInteractiveAuthentication no, geprüft mit sudo sshd -T.
• Root meldet sich nicht mit einem Passwort an; Sie arbeiten als normaler Benutzer mit sudo.
• Datenbanken, Caches und Suchcluster lauschen auf 127.0.0.1; die Ports 3306, 5432, 6379, 9200 und 27017 sind von außen geschlossen, für IPv4 und IPv6.
• Eine Firewall, die eingehend standardmäßig alles blockiert; nur die Ports, die Sie benötigen, sind offen.
• fail2ban läuft für SSH (fail2ban-client status sshd).

Block 2: Sicherheitslücken werden geschlossen (Modul 4)

• Automatische Sicherheitsupdates sind aktiviert und geprüft (Log, apt list --upgradable).
• Ein Plan für Neustarts; /var/run/reboot-required liegt nicht wochenlang herum.
• Das Release wird noch unterstützt; das Supportende steht in Ihrem Kalender.

Block 3: Sie können zurück (Modul 8)

• Verschlüsselte Backups außerhalb des Servers, automatisch, mit Überwachung.
• Ein Wiederherstellungstest ist erledigt, und Sie wissen, wie lange die Wiederherstellung dauert.
• Sie wissen, wie Sie einen Snapshot erstellen und die Konsole öffnen.

Block 4: Die Außenseite stimmt (Modul 7)

• A- und AAAA-Records zeigen auf Ihren Server; der Reverse DNS (PTR) zeigt auf denselben Namen zurück.
• https mit einem gültigen Zertifikat, das automatisch erneuert wird; http leitet auf https weiter.
• HSTS und einige Sicherheitsheader; eine security.txt mit einer funktionierenden Kontaktadresse und einem Ablaufdatum.

Block 5: Sie sehen, was passiert (Modul 6, 8)

• Das Journal ist persistent; Sie können Logs von vor einem Neustart lesen.
• Überwachung von außen (Erreichbarkeit, Zertifikat) und von innen (Festplatte, Dienste), mit Benachrichtigungen, die auch ankommen.
• systemctl --failed ist leer.

Block 6: Container unter Kontrolle (Modul 9, falls Sie Docker verwenden)

• Ports von Containern auf 127.0.0.1 oder hinter dem Reverse Proxy; kein docker.sock in Containern, die es nicht wirklich brauchen.
• Volumes sind im Backup enthalten; Images werden regelmäßig aktualisiert.
• Geheimnisse liegen in .env-Dateien mit strengen Rechten, nicht in Git.

Die Kontrolle von außen

Einen Teil dieser Liste kann das Kursprogramm von außen prüfen, genau so, wie jeder im Internet Ihren Server sieht. Die Abschlussaufgabe (Z10.4) kombiniert die Kontrollen aus früheren Aufgaben:

Das Programm führt nichts auf Ihrem Server aus, probiert keine Passwörter und scannt keine anderen Ports. Jede Adresse kann nur wenige Male pro Stunde geprüft werden. Ein grünes Ergebnis bedeutet: Von außen sind die bekanntesten Fehler nicht vorhanden. Es sagt nichts darüber aus, was innerhalb Ihres Servers passiert; das ist der Rest der Checkliste, und den prüfen Sie selbst.

Das Serverdossier

Schreiben Sie für jeden Server ein kurzes Dokument, das außerhalb des Servers aufbewahrt wird (zum Beispiel in Ihrem Passwortmanager oder in einem gemeinsamen Ordner):

• Name, IP-Adressen, Anbieter, Release und Supportende;
• was läuft (Dienste, Container, Websites) und warum;
• welche Ports offen sind und wofür;
• wo die Backups liegen, wie Sie wiederherstellen, wann der letzte Test war;
• welche Geheimnisse auf dem Server liegen (nicht die Geheimnisse selbst, sondern welche es gibt und wo sie ausgetauscht werden);
• was Sie bewusst anders als im Standard gemacht haben (zum Beispiel einen Lynis-Vorschlag, den Sie übersprungen haben, Lektion 10.1);
• wer Zugang hat (welche Schlüssel in authorized_keys).

Dieses Dossier ist Gold wert bei einem Vorfall (Lektion 10.3), bei einem Release-Upgrade (Lektion 4.3) und wenn jemand anderes die Verwaltung übernimmt.

Ein Wartungsrhythmus

Ohne Rhythmus lässt die Sorgfalt nach. Ein Beispiel für einen kleinen Server; passen Sie es an Ihre eigene Situation an.

Tragen Sie diese Termine in Ihren Kalender ein. Vieles können Sie auch mit der Überwachung aus Lektion 8.3 automatisieren, aber selbst hinschauen bleibt notwendig.

In der Praxis

Ob Ihr Server bei WebOké oder bei einem anderen Anbieter steht: Der Anbieter sorgt für die Hardware, das Netzwerk und die Möglichkeit, Snapshots und Backups zu erstellen, Sie sorgen für alles innerhalb des Servers. Dieser Kurs ist Hilfe zur Selbsthilfe: Niemand schaut auf Ihrem Server mit. Mit dieser Checkliste, dem Dossier und dem Rhythmus haben Sie jedoch alles in der Hand, um diese Verwaltung selbstständig und gut zu erledigen.

Zusammenfassung

• Prüfen Sie Ihren Server in Blöcken: Niemand kommt einfach herein, Sicherheitslücken werden geschlossen, Sie können zurück, die Außenseite stimmt, Sie sehen, was passiert, Container unter Kontrolle.
• Die Kontrolle von außen prüft SSH-Anmeldemethoden, Datenbankports, https, Header, security.txt und Ihren Container-Header; den Rest prüfen Sie selbst.
• Führen Sie ein Serverdossier, außerhalb des Servers.
• Arbeiten Sie mit einem festen Rhythmus: wöchentlich, monatlich, vierteljährlich und jährlich.

Quiz

Aufgabe

Aufgabe Z10.4: Abschlussaufgabe: Ihr Server von außen. Lassen Sie das Kursprogramm Ihren Server in einem Durchgang von außen prüfen: die SSH-Anmeldemethoden für Ihren Benutzernamen, die fünf Datenbankports, https und die Header Ihrer Website, Ihre security.txt und den Header X-Weboke-Cursus mit Ihrem Code unter dem Namen, unter dem Ihr Container läuft. Füllen Sie außerdem die Checkliste der Blöcke 1 bis 6 für alles aus, was das Programm nicht sehen kann.

Aufgabe O10.4: Ihr Wartungsrhythmus. Erstellen Sie Ihr eigenes Serverdossier und Ihren Wartungsrhythmus: Was tun Sie wöchentlich, monatlich, vierteljährlich und jährlich? Tragen Sie diese Termine in Ihren Kalender ein.

Weiterführende Informationen

• Ihren VPS absichern: die ersten fünf Minuten
• HSTS und Sicherheitsheader für Ihre Website
• Backup-Strategie: Die 3-2-1-Regel für Ihr eigenes Unternehmen
• securitytxt.org (Erklärung und Generator für security.txt): https://securitytxt.org/
• Das niederländische NCSC, Eine Backup-Strategie aufstellen (niederländischsprachige Quelle): https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen