Welche Sicherheitsvorkehrungen sollten bei einem Start-up mindestens getroffen werden?

Question

Ich arbeite in einem neu gegründeten Unternehmen und beschäftige mich hauptsächlich mit der Systemadministration, und ich bin auf einige Sicherheitsprobleme gestoßen, mit denen ich nicht wirklich zurechtkomme. Ich möchte beurteilen, ob meine Erwartungen richtig sind, und suche daher nach Informationen darüber, was andere in dieser Situation getan haben und welche Risiken/Probleme aufgetreten sind. Wie wichtig sind insbesondere Maßnahmen wie die Platzierung von Verwaltungstools hinter einem VPN, regelmäßige Sicherheitsupdates (Betriebssystem und Tools) usw.?

Denken Sie daran, dass es sich um ein Start-up-Unternehmen handelt und das Hauptziel darin besteht, so viele Funktionen wie möglich schnell auf den Markt zu bringen. Daher brauche ich so viele Begründungen wie möglich, um die Ressourcen für die Sicherheit zu erhalten (d. h. Ausfallzeiten für Upgrades, Entwicklungszeit für Sicherheitsbehebungen).

Hintergrundinformationen:

• Die Anwendung ist sowohl LAMP als auch ein benutzerdefinierter Java-Client-Server.
• In den nächsten 3 Monaten rechne ich mit etwa 10.000 anonymen Besuchern der Website und bis zu 1000 authentifizierten Benutzern.
• Jüngeres Publikum (16-25), in dem garantiert überdurchschnittlich viele Schwarzhüte vertreten sind.

Ich danke Ihnen im Voraus für Ihre Antworten und freue mich über jeden weiteren Ratschlag.

Answer 1

Vergewissern Sie sich, dass Sie wissen, welche Version und welcher Patch-Level auf Ihren Servern läuft, und zwar nicht nur das Betriebssystem, sondern alle zugehörigen Komponenten und alles, was auf dem Rechner tatsächlich ausgeführt wird. Stellen Sie dann sicher, dass Sie nie mehr als einen Tag im Rückstand sind. Die meisten meiner früheren Arbeitgeber würden niemals öffentlich zugeben, dass sie gehackt wurden, da dies ein schlechtes Licht auf sie wirft. Sie können also davon ausgehen, dass die Systeme immer wieder gehackt werden, was für die Unternehmen schwerwiegende Folgen hat, man erfährt nur nichts davon.

Answer 2

Hier ein paar grundlegende "Sicherheitsmaßnahmen", die zwar eher reaktiv als proaktiv sind, aber dennoch einige Dinge, die man beachten sollte.

1) Backup-Strategie, natürlich nicht nur für diejenigen, die sich in Ihre Website einhacken, aber es ist schön, alles wiederherzustellen, wenn möglich bis zu den Tagen vor dem Hack, stellen Sie sicher, dass es zuverlässig ist und vor allem wurde in einer Fast-Live-Wiederherstellung Übung getestet
2) Abhilfemaßnahmen, zumindest auf einer Serviette festgehaltene Pläne, wie man reagieren soll, wenn der Server gehackt wird
3) Versicherungen: Finden Sie Versicherungsgesellschaften, die sich mit der Welt des Cyber-Business und den daraus resultierenden Schäden auskennen, und kaufen Sie Policen.
4) Jemand hat bereits Probleme mit der Sabotage durch Mitarbeiter erwähnt, aber Sie überprüfen Ihre Mitarbeiter doch vorher, oder? Hintergrundüberprüfungen sind billig und fördern einiges zutage...

Answer 3

Mein bester Vorschlag ist die Überwachung.

Es gibt keine perfekte Sicherheit, und es geht darum, Risiken zu akzeptieren und ihnen, wenn nötig, vorzubeugen. Wenn Sie jedoch keine Überwachung haben, können Sie nicht feststellen, ob etwas (ein Angriff) erfolgreich war und wie es passiert ist.

Halten Sie also Ihr System auf dem neuesten Stand und installieren Sie ein paar einfache Tools, um es richtig zu überwachen. Wenn Sie benutzerdefinierte Anwendungen haben, fügen Sie dort die Protokollierung hinzu. Protokollierung von Fehlern (fehlerhafte Eingaben), fehlgeschlagenen Passwörtern oder anderen vom Benutzer verursachten Fehlern.

Was leichtgewichtige Tools zur Überwachung angeht, so gibt es eine ganze Reihe freier/offener Quellen:

• OSSEC (um nach Anomalien, Änderungen und Protokollen zu suchen)
• modsecurity (webbasierte Überwachung)
• Sucuri (whois/dns/blacklisting Überwachung)

Answer 4

Schauen Sie sich unter Mod Security die verschiedenen Möglichkeiten bei der Einrichtung der Software an: Machen Sie eine Google-Suche nach "mod_security howto example".

Ein einfaches Beispiel für den Anfang: http://www.ghacks.net/2009/07/15/install-mod_security-for-better-apache-security/