Controlelijst voor Windows- en Linux-serververharding

Wat is serververharding?

Serververharding is het proces waarbij een server wordt beveiligd door het aanvalsoppervlak te verkleinen en de mogelijkheden voor ongeautoriseerde toegang te beperken, exploitatie, of verstoring van de dienstverlening.

Het doel is niet om een ​​systeem zo agressief af te sluiten dat normale bedrijfsvoering moeilijk wordt. In plaats van, serverhardening richt zich op het implementeren van praktische beveiligingsmaatregelen die de bescherming verbeteren en tegelijkertijd de bruikbaarheid en operationele stabiliteit behouden.

Serververharding is van toepassing op alle soorten omgevingen, inbegrepen:

• Toegewijde servers
• VPS-hosting
• Cloud-servers
• Virtuele machines
• Infrastructuur op locatie
• Windows-servers
• Linux-servers

Een goed geharde server is eenvoudiger te beheren, beter bestand tegen aanvallen, en beter voorbereid zijn op het omgaan met beveiligingsincidenten.

Windows versus Linux Server-verharding

Hoewel de kernprincipes van verharding consistent blijven voor alle besturingssystemen, de tools en implementatiemethoden verschillen.

Ongeacht het besturingssysteem, het doel blijft hetzelfde: onnodige blootstelling verminderen en de veiligheidscontroles versterken.

WordPress-webhosting

Vanaf $ 3,99/maandelijks

Koop nu

1. Maak een back-up van de server voordat u wijzigingen aanbrengt

Voordat verhardingsmaatregelen worden toegepast, ervoor te zorgen dat er een betrouwbare back-up- en herstelstrategie bestaat.

Beveiligingswijzigingen kunnen van invloed zijn:

• Gebruikersauthenticatie
• Firewall-regels
• Diensten
• Toepassingen
• Connectiviteit op afstand

Een back-upplan moet omvatten:

• Volledige systeemback-ups
• Configuratieback-ups
• Back-ups van applicaties
• Databaseback-ups
• Hersteldocumentatie

Controleer altijd of de herstelprocedures werken voordat u grote beveiligingswijzigingen doorvoert.

2. Controleer gebruikersaccounts en machtigingen

Gebruikersaccounts zijn vaak een van de meest voorkomende aanvalsvectoren.

Regelmatige audits moeten omvatten:

Goedkope VPS-server

Vanaf $ 2,99/maandelijks

Koop nu

• Ongebruikte accounts verwijderen
• Inactieve gebruikers uitschakelen
• Toegang van voormalige werknemers verwijderen
• Het elimineren van onnodige beheerdersrechten
• Serviceaccounts beoordelen
• Het toepassen van de principes van de minste privileges

Ramen

Beoordeling:

• Lokale beheerders
• Domeinbeheerders
• Groepsbeleidstoewijzingen
• Machtigingen voor serviceaccounts

Linux

Beoordeling:

• Root-toegang
• sudo-rechten
• PAM-configuratie
• Serviceaccounts

Beheertaken moeten worden uitgevoerd met behulp van speciale beheerdersaccounts in plaats van standaardgebruikersaccounts.

3. Dwing een sterk wachtwoordbeleid en MFA af

Wachtwoordbeveiliging blijft van cruciaal belang, zelfs als er aanvullende beveiligingsmaatregelen bestaan.

Een sterk wachtwoordbeleid zou dit moeten omvatten:

• Minimale wachtwoordlengte
• Complexiteitsvereisten
• Handhaving van wachtwoordgeschiedenis
• Beleid voor accountvergrendeling
• Vervalvoorwaarden indien van toepassing

Authenticatie met meerdere factoren (MFA) moet waar mogelijk worden ingeschakeld.

Windows VPS-hosting

Remote Access & Full Admin

Koop nu

Er moet rekening worden gehouden met MFB:

• Administratieve rekeningen
• VPN-toegang
• Bedieningspanelen
• Cloudplatforms
• Diensten voor toegang op afstand
• Kritieke bedrijfsapplicaties

4. Veilige toegang op afstand

Diensten voor externe toegang zijn vaak het doelwit van aanvallers.

Beperk en beveilig deze diensten waar mogelijk.

Aanbevolen praktijken

• Voorkom dat SSH rechtstreeks wordt blootgesteld aan het openbare internet
• Voorkom dat RDP rechtstreeks wordt blootgesteld aan het openbare internet
• Gebruik indien mogelijk VPN-toegang
• Implementeer bastionhosts of jumpservers
• Beperk de toegang op IP-adres
• Bewaak authenticatiepogingen
• Beperk de toegang op afstand tot bevoegd personeel

Linux SSH-beveiliging

Schakel wachtwoordverificatie uit bij gebruik van SSH-sleutels:

PasswordAuthentication no

Schakel directe root-aanmelding uit:

PermitRootLogin no

Windows RDP-beveiliging

Beoordeling:

• Authenticatie op netwerkniveau (GEWELDIG)
• Extern bureaublad-beleid
• Instellingen voor accountvergrendeling
• Firewall-beperkingen

5. Implementeer standaard-deny-firewallregels

Firewalls zouden standaard al het onnodige verkeer moeten blokkeren.

Alleen noodzakelijke diensten mogen worden toegestaan.

Beoordeling:

• Inkomende regels
• Uitgaande regels
• Toegestane poorten
• IP-beperkingen
• Netwerksegmentatie
• Toepassingsspecifieke vereisten

Windows Firewall

Controleer de Windows Defender Firewall-regels regelmatig.

Linux-firewall

Afhankelijk van de distributie, gebruik:

• firewalld
• nftables
• iptables
• ufw

Documenteer alle firewalluitzonderingen en controleer ze periodiek.

6. Sluit ongebruikte poorten en schakel onnodige services uit

Elke actieve dienst vergroot de potentiële blootstelling.

Beoordeling:

• Open poorten
• Lopende diensten
• Geïnstalleerde serverrollen
• Verouderde protocollen
• Achtergronddaemonen

Voorbeelden van services die vaak worden beoordeeld

• FTP
• Telnet
• Ongebruikte webservices
• Verouderde beheerinterfaces
• Ongebruikte postdiensten

Alleen services die nodig zijn voor bedrijfsactiviteiten moeten ingeschakeld blijven.

7. Verwijder onnodige software

Elke geïnstalleerde applicatie verhoogt de complexiteit en de potentiële blootstelling aan kwetsbaarheden.

Controleer de geïnstalleerde software regelmatig en verwijder deze:

• Ongebruikte applicaties
• Oudere hulpmiddelen
• Ontwikkelingspakketten voor productiesystemen
• Onnodige looptijden
• Verlaten software

Het handhaven van een minimale softwarevoetafdruk vermindert het risico en vereenvoudigt patchbeheer.

8. Houd systemen gepatcht

Beveiligingsupdates pakken bekende kwetsbaarheden aan waar aanvallers zich actief op richten.

Patchbeheer zou dit moeten omvatten:

• Updates van het besturingssysteem
• Beveiligingspatches
• Kernel-updates
• Applicatie-updates
• Database-updates
• Updates van de webserver

Linux-updates

RHEL-gebaseerde systemen:

sudo yum update

of:

sudo dnf update

Op Debian gebaseerde systemen:

sudo apt update && sudo apt upgrade

Windows-updates

Gebruik:

• Windows-update
• WSUS
• Microsoft Endpoint Configuration Manager

Test indien mogelijk altijd kritieke updates vóór implementatie.

9. Versleutel gegevens in transit en in rust

Encryptie beschermt gevoelige informatie tegen ongeoorloofde toegang.

Gegevens in transit

Gebruik gecodeerde protocollen zoals:

• HTTPS
• SSH
• SFTP
• TLS-compatibele services
• VPN-verbindingen

Vermijd onveilige protocollen zoals:

• Telnet
• FTP
• HTTP

Gegevens in rust

Ramen:

• BitLocker

Linux:

• luxe
• dm-crypt

Overweeg ook:

• Database-encryptie
• Back-up-encryptie
• Certificaatbeheer
• Veilige sleutelopslag

10. Veilige fysieke toegang en opstartconfiguratie

Fysieke toegang moet worden beschouwd als onderdeel van de serverbeveiliging.

Beoordeling:

• BIOS- of UEFI-wachtwoorden
• Secure Boot-instellingen
• USB-opstartbeperkingen
• Externe mediabediening
• Toegangsbeleid voor datacenters

Fysieke compromissen kunnen veel beveiligingen op softwareniveau omzeilen.

11. Logboekregistratie inschakelen, Controle, en monitoring

Beveiligingsmonitoring is essentieel voor het detecteren van verdachte activiteiten.

Monitor:

• Inlogpogingen
• Accountblokkeringen
• Toestemmingswijzigingen
• Firewall-aanpassingen
• Dienstwijzigingen
• Applicatiefouten
• Beveiligingsgebeurtenissen

Windows-hulpmiddelen

• Gebeurtenisviewer
• Windows-gebeurtenis doorsturen
• SIEM-platform

Linux-hulpmiddelen

• systeemlog
• gejournaliseerd
• auditd
• SIEM-platform

Logboekregistratie moet worden ingeschakeld voordat er incidenten optreden, niet daarna.

12. Centraliseer de logboekverzameling

Lokale logboeken kunnen tijdens een compromis worden gewijzigd of verwijderd.

Logboeken doorsturen naar gecentraliseerde systemen zoals:

• SIEM-platform
• Externe syslog-servers
• Platforms voor beveiligingsmonitoring

Beoordeling:

• Bewaarbeleid
• Toegangscontroles
• Logintegriteit
• Waarschuwingsmechanismen

Gecentraliseerde logboekregistratie verbetert zowel beveiligingsonderzoeken als compliancerapportage.

13. Configuratieafwijking bewaken

Beveiligingsconfiguraties veranderen vaak in de loop van de tijd als applicaties, gebruikers, en diensten evolueren.

Vergelijk systemen regelmatig met goedgekeurde basislijnen.

Nuttige bronnen zijn onder meer:

• CIS-benchmarks
• Microsoft-beveiligingsbasislijnen
• NIST-begeleiding
• Interne veiligheidsnormen

Monitor:

• Gebruikerswijzigingen
• Firewall-wijzigingen
• Dienstwijzigingen
• Software-toevoegingen
• Configuratiewijzigingen

Het doel is het handhaven van de consistentie met het goedgekeurde beveiligingsbeleid.

14. Harden-applicaties en -services

Het versterken van het besturingssysteem alleen is niet voldoende.

Applicaties die op de server draaien, moeten ook worden beoordeeld.

Voorbeelden zijn onder meer:

• Webservers
• Databases
• Bedieningspanelen
• CMS-platforms
• E-commerce toepassingen
• API's
• Postdiensten

Beoordeling:

• Toegangsrechten
• Beheer van geheimen
• Configuratiebestanden
• Afhankelijkheidsupdates
• Applicatiespecifieke beveiligingsinstellingen

Applicatiebeveiliging moet deel uitmaken van dezelfde beoordelingscyclus als de beveiliging van het besturingssysteem.

15. Begrijp de verantwoordelijkheden van hosting

Beveiligingsverantwoordelijkheden variëren afhankelijk van het hostingmodel.

Controleer altijd precies welke beveiligingsverantwoordelijkheden bij uw team horen en welke door de hostingprovider worden afgehandeld.

16. Test verhardingswijzigingen vóór productie

Beveiligingswijzigingen moeten zorgvuldig worden ingevoerd.

Aanbevolen proces:

1. Testen in stagingomgevingen.
2. Pas de wijzigingen stapsgewijs toe.
3. Documentwijzigingen.
4. Controleer de functionaliteit van de applicatie.
5. Bevestig dat beheerderstoegang beschikbaar blijft.
6. Monitor systemen na implementatie.
7. Onderhouden van terugdraaiprocedures.

Deze aanpak vermindert het risico op serviceonderbrekingen als gevolg van beveiligingswijzigingen.

Aanbevolen beoordelingsschema voor verharding

Dagelijks

Beoordeling:

• Beveiligingswaarschuwingen
• Mislukte inlogpogingen
• Kritieke logboeken
• Back-upstatus
• Gebruik van hulpbronnen

Wekelijks

Beoordeling:

• Firewall-wijzigingen
• Open poorten
• Software-updates
• Servicestatus
• Authenticatieafwijkingen

Maandelijks

Beoordeling:

• Gebruikersaccounts
• Administratieve machtigingen
• Naleving van patches
• Testen van back-upherstel
• Configuratieafwijking

Driemaandelijks

Beoordeling:

• Beveiligingsbasislijnen
• Toegangscontrole op afstand
• Herstelprocedures
• Controle-instellingen
• Verhardend beleid

Na grote veranderingen

Evalueer altijd opnieuw:

• Firewall-regels
• Gebruikersrechten
• Blootgestelde diensten
• Bewakingssystemen
• Back-upprocedures

Bouwen aan een duurzame verhardingsstrategie

Het verharden van servers is een doorlopend proces en geen eenmalig project. Effectieve verharding combineert sterke toegangscontroles, veilige configuraties, regelmatig patchen, continue monitoring, en gedisciplineerd verandermanagement.

Door onnodige diensten systematisch te verminderen, toegang beperken, het beschermen van gevoelige gegevens, en het voortdurend beoordelen van configuraties, Organisaties kunnen de risico's aanzienlijk verminderen en tegelijkertijd betrouwbare en beheerbare Windows- en Linux-serveromgevingen behouden.