Sarge Security Updates irgendwie reicht das nicht...

SCH4K4L · Beitrag von **SCH4K4L** » 03.04.2006 12:36:46

Hallo,

ich habe seit kurzem einen vServer gemietet und habe diesen nun mit meinem Security Scanner von http://www.safety-lab.com getestet. Die Vollversion habe ich aus einem Magazin und bin jetzt etwas verwirrt was die Ausgabe angeht. Für den zweiten Scan habe ich den kostenlosen Risikolos-Test von http://www.securityspace.com benutzt (Ich glaube auf Basis von Nessus). Vielleicht könnt ihr mir helfen!

So, also ich habe die sources.list aus dem Wiki benutzt und ein Upgrade laufen lassen. Alles wurde ordnungsgemäß installiert.

Laut dem Scan von safety-labs sind noch 12 Sicherheitslücken vorhanden. SecuritySpace sagt 1 hohes 2 ernstzunehmende und XX eher unwichtige Sicherheitslücken...

Alle vom safety-lab gefundenen Sicherheitslecks liegen wohl in der aktuellen Apache Version. securityspace möchte Geld um genauere Infos über die ersten beiden Kategorien zu erhalten.

Was soll ich nun machen??? Würde mir ein Nessus Scan von einer LiveCD weiterhelfen??? Oder stimmen diese Aussagen schlichtweg nicht? - Als Lösung wird jeweils nur ein Versionsupdate der betreffenden Dienste angegeben...

Ich hoffe ihr wisst mehr und antwortet schnell!

LG SCH4K4L

Savar · Beitrag von **Savar** » 03.04.2006 12:40:50

Die Scanner gehen nach der Version.. beim Debian Stable wird aber nur der Bug gefixt jedoch die Version beibehalten.. daher denken die Scanner der Bug wäre noch da obwohl er in der Debian Version gar nicht mehr vorhanden ist..

SCH4K4L · Beitrag von **SCH4K4L** » 03.04.2006 12:45:09

Also kann ich mir zu 99% sicher sein, das mein Server sicher ist???

Ich habe bisher Debian nur zu Hause benutzt und mache mir halt etwas mehr Sorgen, da der vServer ja ständig im Netz ist und "etwas" mehr Bandbreitenpower besitzt! Möchte halt keine Spam oder Warez Schleuder haben...

Es gibt also so gesehen keinen zuverlässigen Scanner für Debian Systeme??? - Einfach das Vertrauen in die Hände des Securityteams legen?

LG SCH4K4L

aleko · Beitrag von **aleko** » 03.04.2006 12:45:16

Ich benutze zusaetzlich nikto zum erfassen von Lecks in Webservern , der gibt auch konkrete Auskunft.
Als Sicherheitsmodul gibt es z.B. mod-security fuer Apache .

SCH4K4L · Beitrag von **SCH4K4L** » 03.04.2006 12:47:36

aleko hat geschrieben:Ich benutze zusaetzlich nikto zum erfassen von Lecks in Webservern , der gibt auch konkrete Auskunft.
Als Sicherheitsmodul gibt es z.B. mod-security fuer Apache .

Ok, dann werde ich mich damit jetzt erstmal auseinandersetzten!!!

Vielen Dank für Eure schnelle Hife... - Immer noch das beste Forum was es in der Hinsicht gibt! Weiter so...

LG SCH4K4L

Beitrag von **feltel** » 03.04.2006 13:01:19

Ohne jetzt die genauen Ergebnisse zu kennen würd ich sagen das sich die Scanner von den Versionsangaben fehlleiten lassen. Debian portiert Sicherheitsfixes immer auf die mit Stable veröffentlichte Version zurück.

Das heißt z.B. Apache veröffentlicht ein Sicherheitsfix für Apache 2.0.54 und nennt die gefixte Version 2.0.55. Debian nimmt die 2.0.55-Version und "extrahiert" die notwendigen Fixes und wendet sie auf die mit Debian veröffentlichte Version 2.0.54 an. Der Apache meldet sich dann zwar weiterhin als 2.0.54, enthält aber die Fixes aus 2.0.55

SCH4K4L · Beitrag von **SCH4K4L** » 03.04.2006 13:06:27

Ich habe die Ausgabe des ersten Scans mal hier hinterlegt...

http://nopaste.debianforum.de/2832

Gibt anscheinend doch noch genug zu tun!

LG SCH4K4L

DeletedUserReAsG · Beitrag von **DeletedUserReAsG** » 03.04.2006 13:20:10

Ein guter Teil der Sachen, die da aufgelistet werden, liegt aber auch an den installierten Webanwendungen, wofür das System selbst dann nichts kann (und die auch in Wirklichkeit nicht von Bedeutung sein müssen: Ich kann z.B. einen Webserver mit PHP so konfigurieren, dass z.B. eine alte, nachgewiesenermaßen unsichere, phpBB2-Version keine Gefahr darstellt).

Wenn wirklich mal eine offenbar kritische Lücke in der installierten Software gefunden wird, und man sich nicht sicher sein kann, kann man ja nach einem entsprechenden Exploit suchen, und das selbst mal testen. Ist sowieso eine gute Idee, man bekommt einen besseren Blick für die Dinge und versteht Zusammenhänge besser.

Auch interssant: Einige der großen Securitylisten abonnieren und bei Meldungen, die installierte Software betreffen, schauen, ob man davon betroffen ist. Viele Sachen, die gemeldet sind, setzen bestimmte Umgebungsbedingungen voraus. Wenn's man selbst etwas als gefährlich einschätzt, hat man außerdem die Möglichkeit, selbst zu handeln und muss nicht auf einen Bugfix warten (bzw. kann die Lücke provisorisch abdichten, bis die Bugfixes raus sind, das dauert ja auch manchmal eine gewisse Zeit).

cu

SCH4K4L · Beitrag von **SCH4K4L** » 03.04.2006 13:29:24

Das war ja schonmal ein erfolgreicher Montag Morgen!!!

Viel gelernt und werde jetzt erstmal der anderen Arbeit nachgehen... Mit dem Security Aspekten beschäftige ich mich dann am Wochenende richtig! Habe nur einen mittelmäßigen Schrecken bekommen und wollte das mal eben geklärt haben...

VIelen Dank nochmals an alle!!! - Hab die Tage sicher noch ein paar Fragen...

Clio · Beitrag von **Clio** » 03.04.2006 14:12:53

Hi,

das hier wird sicher auch weiterhelfen.