Server besser absichern

Die haben wir, trotz hohem SSH- Port und allen anderen Mechanismen.
Für SSH ist damit auch ziemlich Ruhe im Karton.

Hauptsächlich rühren diese Versuche von Spammern her, die unbedingt unseren mit DMARC/DKIM und STARTTLS gesicherten Mailserver mistbrauchen®™ wollen.
(Einige User maulen schon, weil die Spamabwehr Dropbox, Telekomiker und Konsorten gleich als Spammer ausschliesst. Ich folge dem guten Linuxgrundsatz: No news are good news.)

Dennoch sollte man das nicht unterschätzen.
Gefährlich sind die, die sich Zeit lassen und über Wochen hinweg sehr sparsam die Ports proben.
Die sind schwierig zu erwischen und erst recht kaum zu bannen. Da müsste man schon jeden Tag einen guten Mann hinstellen, der nur Logs analysiert.
Die können einfach mehr und gehen das Hacken sehr systematisch und mit viel Know- How an.

Moin zusammen,

Berichtigung, die wirklich guten Hacker wird man da kaum erwischen, da gebe ich Dir Recht. In der Regel sind die den Sysadmins eh meistens leider um 1-2 Schritte voraus.
Nur so ist es auch zu erklären, dass sich (vorzugsweise in Amiland) die großen Firmen 1 bis X solcher Menschen 'leisten' um die eigene IT-Sicherheit zu checken und zu gewährleisten .... selbstredend können sich diese Herrschaften ihre Gehaltsschecks dann selber ausstellen .... will sagen die werden mehr als nur großzügig bezahlt.

Was diese hohen Attackraten aber angeht, c'me on, das sind doch zu über 95% Scriptkiddies, die noch an der Muttermilch saugen und im Netz irgendwelche 'coolen' Tools gefunden haben mit denen sie ohne Sinn und Verstand rumspielen.

Da langt wie Du auch schon mehrfach erwähnt hast, ssh auf anderen Port, Passwort Login komplett untersagen, fail2ban und psad in Personalunion vollkommen aus um gut Ruhe im Karton zu haben.

Moin zusammen,

beim rootkey bitte die *starke* Passphrase nicht vergessen!! Desweiteren kann man mit from arbeiten, um rootaccess nur von bestimmten Adressen7Adressbereichen zuzulassen.
unprivilegierter User mit sudorecht würde ich _grundsärtlich_ einrichten .... auch den Root kann man sich mal zerschnippeln .... wenn dann gar kein Zugriff mehr möglich ist eiweiwei.

USB Stick mit Passwörtern drauf und wenn 100x gecrypted - NEVER EVER .... getreu dem Motto, was haben Regenschirme, Geburtstage und USB Sticks gemeinsam ..... sie werden vergessen!

Hier ist _immer_ auf einen KeySafe zu setzen, dessen Keydatenbank verschlüsselt auf dem/den Rechnern liegt mit denen man arbeitet und _zusätzlich_ auf einem Speichermedium im realen Safe/Bankschliessfach, falls es die DB mal schnetzelt.

Es gibt im Übrigen auch KeySafes, die Plattform übergreifend arbeiten, sprich unter Win, Linux, Android etc. z.B. vom 'Russen' die. Die hat meines Wissens leider noch kein Browser Plugin, aber das ist verschmerzbar glaube ich.

Was die ssh-Keys angeht .... nun, die kann man fein sauber auf ner verschlüsselten Partition auf der Platte ablegen. Die muss man natürlich entschperren, wenn man mit den Keys arbeiten will. Auch diese selbstredend als Sicherungskopie auf nen Speichermedium in den Safe/Bankschliessfach.

ufw ist ein Frontend zu iptables.
iptables macht weiterhin die Arbeit. ufw macht nur das Erstellen eigener Regeln einfacher und somit sicherer.

cryfs verschlüsselt auch die Spasswörter. Insofern schenken sich die verschiedenen Lösungen nichts.
selbstverständlich kannst du Truecrypt nehmen.
Aber cryfs kann halt ein paar modernere Verschlüsselungsverfahren.
Ich denke zwar schon, dass die möglichen Verschlüsselungen von cryfs "besser" sind, aber ich kenne auf der anderen Seite Truecrypt nicht.
Das müsste man sich mal sorgfältig angucken.

Ob nun Hardware Wallet, oder selbst gebasteltes USB Wallet:
Wer das verliert, hat halt verloren.
Das ist für mich kein Argument.

VPN solltest du dir schleunigst angucken.
Das ist nicht so schwer. Die bieten auf ihrer Seite eine hervorragende Doku. Arbeite die durch und du hast ein VPN.

Sonst ist deine Zusammenfassung korrekt.

rkhunter solltest du auf einer jungfräulichen Installation aufrufen.
Es erstellt von wichtigen Dateien und 'Programmen Fingerabdrücke und speichert die in seiner Datenbank.
Das macht nur Sinn, wenn du wirklich von einer sauberen, möglichst jungfräulichen Installations ausgehst.
(Oder du bist dir __wirklich__ sicher, dass deine Installation __wirklich__ sauber ist.

Es gibt natürlich auch open source 2Faktor Systeme.
Setze einfach eines mal auf.
Dann kannst du gleich deinen USB Stick als zweiten Faktor einsetzen.
Damit hättest du deinen eigenen Yubi Key, der noch den Vorteil hätte, dass ihn nicht schon alle Hacker in den Fingern haben.

Und das alles selber machen und lernen ist immer der beste Weg.
Finde ich sehr gut.

Truecrypt war mal sehr gut, wie gesagt war! Es wird, seit 2012 glaube ich, nicht mehr weiterentwickelt! Der Nachfolger von Truecrypt ist Veracrypt und läuft wie Truecrypt sowohl unter Linux als auch unter Windows!

moin zusammen,

psad ist klasse.
Die neueste Version gibbet auch ned für Debian in der Distri ... na und ... beim Hersteller vorbei, neuestes Paket besorgen, Installscript laufen lassen, konfigurieren und gut is.

Das neueste Paket muss man auch haben, denn die älteren Pakete wollen nicht mit der Firewall ... warum auch immer. Das 2.4.6er packt das ganz wunderbar.

Unter SuSE ist das auch nix Anderes .... Paket holen und installieren.
Wenn Du nen bissi wurschteln willst, kannste das tar auspacken und ein RPM Paket draus basteln. Der ewige Dank der Leute wird Dir sicher sein

openSUSE folgt der LSB (LinuxStandardBase) und damit dem FHS (FileHierarchyStandard) möglichst genau.

Probiere es mal mit angehängtem --systemd-init-dir /var/lib/systemd/system
(ggf. das system am Ende weglassen)