Lista de verificación de seguridad del sitio web?

Question

Lista de verificación de seguridad del sitio web?

#1 de Sacx (3 votos)
#2 de Steve Sether (1 votos)

3

Estoy creando un servicio web (un panel de control para clientes) (PHP en linux apache) y estoy intentando desde el diseño hacerlo lo más seguro posible,

¿Alguien me puede proporcionar algún tipo de lista de verificación de las cosas en las que necesito concentrarme?

Ya implementé:

protección SQLi,
por token CSRF de sesión,
almacenamiento seguro de hashing de contraseñas en la base de datos con php 5.5 password_hash (con la comprobación de need_rehash),
se agregó recaptcha para todos los robots de spam,
administrador de sesiones para el usuario (vea quién inició sesión en mi cuenta y

cerrar sesiones remotas & alerta si alguien accedió a mi cuenta).
1. Certificado SSL, comunicación completa a través de HTTPS. (Redirecciono todos los http - > https)

Preguntas:

¿Necesito algún tipo de sistema de prohibición de IP?
Error al prohibir el inicio de sesión de IP & logging?
¿Alguna modificación de seguridad de linux-server? No he modificado nada todavia
¿Cómo protejo mi sitio web de todos los robots / arañas de spam? identificar & ban

Será útil si alguien puede probar una guía / lista de verificación para todos los puntos de seguridad de un sitio web, para revisar / asegurar uno por uno ...

Creo que mi servicio es más seguro entonces ... pero claramente no va a cambiar el hecho de que hay personas capacitadas en el chat que pueden piratear cualquier cosa ... - Quiero convertirlo en un desafío si alguien Intente jugar con mi sistema ... Quiero un servicio de sitio web que sea más seguro que otros.

web-application apache configuration

pregunta itai 24.04.2015 - 11:20

fuente

2 respuestas

Lea otras preguntas en las etiquetas web-application apache configuration

¿Es importante usar un hash lento en htpasswd? ¿Es más segura la información de esquema de hashing para el cliente al generar consultas SQL?

score 3 · Answer 1

Para responder directamente a sus preguntas:

¿Necesito algún tipo de sistema de auto ban ip? inicio de sesión fallido ip banning & logging?

Sí, no intentes reinventar nada y usa fail2ban (solo una buena expresión de expresión regular y estás protegido)

¿Alguna modificación de seguridad de linux-server? No he modificado nada todavia

Recomendaría selinux con dominios y todo eso, pero es bastante difícil. Un buen firewall, tcpwrappers y actualizaciones deberían ser suficientes.

¿Cómo protejo mi sitio web de todos los robots / arañas de spam? identificar & ban

Captcha como sistema está bien.
Compruebe el remitente
Use javascript antes de enviar.
enlace

Como lista de verificación, le recomiendo los 10 primeros OWASP ( enlace ). Si desea más detalles, obtenga el Libro de Cheatsheets de OWASP: enlace

En cuanto a las opciones de seguridad en el lado del servidor, también recomiendo:

WAF (mod_security + conjunto de reglas OWASP) será esencial en su aplicación web.
Servidor web Chroot.
Ocultar la firma del servidor web
Deshabilitar listado de directorios
Use mod_evasive (agains DOS)
Desactiva Server Side Include y CGI Execution si no los usas.
Desinstala todo lo que no es necesario.
Forzarse y no instalar nada de las fuentes, será más difícil de actualizar.

Buena suerte.

score 1 · Answer 2

Las listas de verificación en general son un buen lugar para iniciar una conversación sobre seguridad. El top ten de OWSAP es bastante bueno.

Pero es casi imposible diseñar un sistema de seguridad para ti sin saber lo que estás haciendo, lo que estás tratando de proteger y de quién estás tratando de protegerlo. Un banco necesita una seguridad diferente de un almacén de destino, por ejemplo.

Diseñar un sistema de seguridad completo está más allá del alcance de una pregunta aquí. Mi consejo es contratar a alguien con experiencia en diseño de seguridad y que pueda guiarlo a través de ese proceso. Si está comenzando la conversación solicitando listas de verificación, claramente necesita ayuda con más experiencia.