Het is toch werkelijk onvoorstelbaar wat hackers en ander gespuis allemaal proberen om in de server te komen. Er wordt van alles geprobeerd om toegang te krijgen tot admin-rechten van de server. Als serverbeheerder of websitebeheerder heb je automatisch de taak om al deze aanvallen te weerstaan en waar mogelijk genadeloos af te slaan.

Gelukkig heb je als beheerder een aantal krachtige gereedschappen tot je beschikking, zoals de logfiles van de webserver en een aantal meedraaiende beveiligingstools. Als je deze op de juiste manier weet te gebruiken, kun je heel wat ellende voorkomen. Voorkomen is beter dan genezen.

Zo hou ik al tijden de logfiles van de webserver in de gaten, deels om fouten in mijn eigen programma's op te sporen, zodat je kunt zien waar het precies misgaat in je eigen programma, maar ook als bonus krijg je ook alle pogingen van derden te zien die meestal op niets uitlopen, maar waar rook is, is vuur.

Meestal voeren ze een 1 of andere scan uit op je systeem, om te kijken of er een deurtje open staat waardoor ze naar binnen kunnen glippen. Veel populaire programma's hebben allerlei kwetsbaarheden en achterdeurtjes die actief worden misbruikt, dat is ook een van de redenen dat ik het gebruik van dergelijke pakketten zoveel mogelijk vermijd en dat ik zelf in de loop van de jaren MultiSite heb gebouwd. Zelfs MultiSite is niet perfect, maar ik heb er wel de volledige controle over en ik ken mijn eigen systeem door en door. Men voert dus allereerst een scan uit die op zoek gaat naar de bekende kwetsbaarheden in de populaire veelgebruikte programma's en als ze iets gevonden hebben, kun je er op wachten dat ze die kwetsbaarheid ooit gaan misbruiken.

Een veel gebruikt pakket is WordPress, makkelijk in gebruik, je hebt snel een website opgezet en je kunt ermee aan de slag, maar het staat ook stijf van de kwetsbaarheden en dat weten de hackers en ander gespuis ook. Vooral de bestanden wp-login.php en xmlrpc.php zijn erg gewilde prooien. Ik heb deze ook opgenomen in MultiSite, maar dan met een redirect naar de AIVD website met de vriendelijke mededeling dat men daar maar lekker verder moet gaan spelen. ;-)

Wat me de laatste tijd wel een beetje zorgen baart is dat men nu probeert om allerlei scripts uit te voeren in de /cgi-bin/ folder. Dat is de plek waar allerlei Perl scripts staan, waartoe de webserver toegang heeft. Tegenwoordig wordt deze niet zo heel veel meer gebruikt, maar hij is nog steeds aanwezig omdat er nog steeds scripts zijn die daarin moeten staan, zoals de website statistieken en het bijwerken daarvan.

Standaard staat deze folder gewoon open voor toegang vanaf het internet, omdat het handig is om scripts uit te kunnen voeren die iets aan de bezoekers laten zien. Maar ik heb geen dergelijke scripts om dat aan de bezoekers te laten zien, dus wat mij betreft kan die folder wel dicht. Maar dan werken de statistieken niet meer, zucht!

De oplossing ligt niet in een .htaccess bestandje in de /cgi-bin folder, want dat werkt om een 1 of andere reden niet. De oplossing zit dieper in de webserver configuratie wat de /cgi-bin folder behandelt en de rechten regelt. Je moet de localhost, je server netwerk en je eigen vaste IP adres toestaan en alles wat daar buiten valt blokkeren. Niet vergeten om de webserver te herstarten, anders werken de veranderingen niet.

Na deze ingreep krijg je nog steeds meldingen in de logs, maar met de mededeling dat ze zijn geblokkeerd en dus geen schade meer kunnen aanrichten, toch wel weer een geruststellende gedachte, dacht ik zo.

1 foto('s) van Beveiliging aangescherpt voot /cgi-bin directory:

Klik op een foto vor een vergroting.