Een goede beveiligingde server hebben we nu,?

[Luc]

Volledige Server Beveiliging & SSH Analyse

Vandaag de server beveiliging een upgrade gegeven, en laten analyseren.
Dit is het resultaat. Kortom... deze server is super beveiligd

1. Wat gebeurt er op de achtergrond?

Elke server die online staat, wordt automatisch gescand door bots en scripts van overal ter wereld.
Dit is geen gerichte aanval, maar een continu proces waarbij systemen proberen binnen te raken via standaard gebruikers zoals root.
Bots scannen willekeurige IP-adressen
Ze proberen standaard logins zoals "root", "admin", "test"
Dit gebeurt 24/7, volledig automatisch
Duizenden pogingen per dag zijn perfect normaal
2. Analyse van de SSH logs

Uit de logs blijkt het volgende:
Verbindingen worden opgezet naar de SSH-server
Pogingen gebeuren met gebruiker root
Alle connecties eindigen met preauth
Geen enkele login bereikt het wachtwoordstadium
Betekenis van preauth:
De verbinding wordt afgesloten nog vóór authenticatie.
Met andere woorden: de server weigert de login nog vóór er een wachtwoord gevraagd wordt.
3. Huidige beveiligingsmaatregelen

Je server is correct ingesteld volgens best practices:
Root login uitgeschakeld → PermitRootLogin no
Gebruik van aparte gebruiker met sudo-rechten
Fail2Ban actief → automatische blokkering van verdachte IP-adressen
OPcache correct geconfigureerd
Locale correct ingesteld (nl_NL.UTF-8)
Server up-to-date (Debian + Plesk + packages)
4. Waarom je server veilig is
Aanvallen worden gestopt vóór authenticatie
Root kan niet inloggen, zelfs niet met correct wachtwoord
Geen brute-force mogelijk op root account
Alleen jouw sudo gebruiker kan inloggen
SSH daemon reageert correct en veilig
Fail2Ban blokkeert automatisch verdachte IP-adressen
5. Realistische kijk op serverbeveiliging
Een server wordt altijd aangevallen.
Beveiliging betekent niet dat er geen aanvallen zijn, maar dat ze geen kans maken.
Aanvallen zijn normaal
Logs met pogingen = gezond teken van internetactiviteit
Geen succesvolle login = missie geslaagd
Eindconclusie
Je server is correct en veilig geconfigureerd.
Alle SSH-aanvallen worden automatisch geblokkeerd vóór authenticatie.
Root login is uitgeschakeld en er zijn geen tekenen van succesvolle of gevaarlijke pogingen.
Resultaat:
Je server is goed beschermd en bestand tegen deze standaard aanvallen.
Bots kloppen op de deur… maar geraken niet eens binnen in de gang
Deze server waar deze website opstaat is goed beveiligd dankzij de goede zorgen van onze technicus

[Peer]

Als ik de URL van de server direct bezoek krijg ik deze melding (ip-adres deels geanonimiseerd):

Wees voorzichtig. Er is iets niet in orde.

Firefox heeft een mogelijk ernstig beveiligingsprobleem met 82.165.51.*** opgemerkt...
...
Het certificaat is alleen geldig voor: *.phpbbextnl.be, phpbbextnl.be.

Nu weet ik dat Firefox soms wat streng is en SSL op de domeinnaam gewoon werkt, maar dit wijst er wel op dat het certificaat niet correct is voor directe IP-toegang. Niet direct kritiek, maar “super beveiligd” is misschien iets te enthousiast geformuleerd

In de DNS instellingen zie ik daarnaast dat de TTL overal op 150 staat. Dat is niet fout, maar wel vrij laag en zorgt voor meer DNS lookups dan nodig. Iets hoger instellen zou netter zijn.

Verder nog even naar de mailconfig gekeken:

Code: Selecteer alles

_dmarc.games4you.be. 93 IN CNAME games4you.be.
games4you.be.        150 IN TXT   "v=spf1 mx -all"

Hier gaat het wel echt mis.

De _dmarc entry is een CNAME naar het hoofddomein en levert daardoor alleen het SPF record terug. Volgens de DMARC-specificatie hoort _dmarc een direct TXT record te zijn — via een CNAME wordt dit door veel mailservers genegeerd.

Kort gezegd: DMARC is op dit moment niet actief, ondanks dat er wel mail vanaf het domein wordt verstuurd.

Dat zou dus eerder dit moeten zijn:

Code: Selecteer alles

_dmarc.games4you.be. TXT "v=DMARC1; p=quarantine; rua=mailto:admin@games4you.be"

Misschien bewust zo gedaan, maar dan ben ik wel benieuwd naar de reden

Edit: toegevoegd vanwege een ander topic:

Kleine aanvulling op het phishing-topic:
Wat is phishing

Een van de manieren om phishing te voorkomen is het correct instellen van SPF/DKIM/DMARC.

Op dit domein ontbreekt momenteel een werkende DMARC policy (de _dmarc entry is een CNAME), waardoor mailservers deze bescherming niet kunnen toepassen.

In theorie maakt dat het juist makkelijker om phishingmails te versturen die van dit domein lijken te komen — precies het scenario dat hierboven beschreven wordt.

[SpIdErPiGgY]

Ja, je hebt gelijk met de _dmarc en TTL.
Ik heb deze nu aangepast.

Het IP adres van de server beveiligen met SSL is compleet overbodig.
De domeinen zijn hebben een geldig SSL certificaat, en dat is wat echt telt.

Soms zie ik dingen over het hoofd, we zijn niet perfect

[Peer]

Soms zie ik dingen over het hoofd, we zijn niet perfect

Mooi dat het is aangepast