¿Qué debo tener en cuenta al abrir mi servidor doméstico a Internet?

Lo primero es lo primero, suponga que su servidor estará bajo ataque tan pronto como lo ponga en línea. Opera bajo esa suposición y evitarás muchos errores que la gente normalmente comete.

Comenzaría poniendo su servidor en un DMZ para que, en caso de que se vea comprometida, la superficie de ataque esté limitada en términos de a lo que puede llegar. Si esto no es posible, no es el fin del mundo pero sí ayuda a mantener las cosas separadas.

A continuación, y probablemente más importante, absolutamente nada que no sea necesario que se esté ejecutando debería estar ejecutándose. Desactive todas las funciones innecesarias (¿realmente necesita un entorno GUI?) Y bloquee los puertos que no se requieren específicamente para funcionar. Me gusta iptables a mí mismo, pero lo importante es que se utiliza algo .

Hay algunas herramientas que puede usar para detectar actividades maliciosas, como el escaneo, el uso de fuerza bruta, los intentos de explotación, etc. No voy a repasar cada uno en detalle, pero aquí hay algunas que he usado a lo largo de los años:

• tripwire está un poco desactualizado, pero no tanto.
• ossec tiene un rol similar, pero es más reactivo
• snort es muy popular, tiene muchas reglas

Más importante que cualquier herramienta específica es que la configures y la uses correctamente. Asegúrese de comprender lo que cubre toda la herramienta, lo que no cubre y lo que sucede cuando falla.

Definitivamente, puede ejecutar un servidor doméstico, y puede ser una buena experiencia de aprendizaje, pero querrá asegurarse de que su sistema esté actualizado y vigilado. No te olvides de verificarlo ocasionalmente solo porque parece estar funcionando bien.

Mi principal consejo para ti sería asegurarte de que lo bloquees lo más posible.

Comience en el nivel de transporte. Hay un montón de rutas de Linux para hacer esto, personalmente, creo que ufw es razonablemente fácil de usar. Si hay un puerto que no necesita estar abierto (es decir, no hay una razón específica para que esté abierto a Internet), entonces no debería estar abierto. Si necesita acceso local, solo ábralo a direcciones en su red local. Ha enumerado 3 servicios (FTP, SSH, Minecraft) que deben estar abiertos, así que limite su configuración para que solo permita aquellos que están fuera de su red.

Luego mira la autenticación. Para SSH, ya que permite la ejecución, recomendaría NO abrir esto para el acceso general. Selecciona tu propia cuenta de usuario, dale permisos para SSH y bloquea todos los demás. Personalmente recomiendo usar claves para la autenticación y no permitir las contraseñas en absoluto, pero eso es solo yo.

Desea que el FTP esté abierto, por lo que la solución es restringir su acceso. Dale una cuenta genérica y hazla para que solo pueda acceder a un directorio específico, no importante. No ejecute nada desde aquí, y no tenga nada que lo señale como un directorio de guardado.

Supongo que quieres que Minecraft sea relativamente abierto, lo cual está bien, pero eso requiere más administración para hacer frente al dolor (copias de seguridad mundiales, etc.).

Hay algunos HIDS (sistemas de detección de intrusos basados en host) que ayudarán a mitigar los efectos de cualquiera que intente atacar su servidor.

Estoy de acuerdo con las respuestas de @Jozef Woods y @TactiFail sobre el bloqueo del servidor, etc.

También agregaría que debería asegurarse de aplicar parches regularmente, y esto no se aplica solo al sistema operativo. Si desea que sea un servidor de Minecraft, entonces se ejecutará Java, supongo. Ese será un componente clave para parchar. Por ejemplo, esta actualización de Java solucionó 8 vulnerabilidades calificadas como de gravedad crítica, así como un montón de otros elementos menos graves:

enlace

También aplicaría el endurecimiento estándar de la industria al servidor. Puede descargar y una excelente guía para varios tipos de Linux, de forma gratuita desde CIS:

enlace

Estas guías cubren:

• Bloqueo del sistema de archivos
• Endurecimiento del contexto de ejecución del proceso
• Eliminación de servicios que no son necesarios
• configuración de red
• Registro y auditoría
• Gestión de cuentas de usuario