(Plesk for Linux) Plesk-palvelimen viritys PCI DSS -vaatimusten täyttämiseksi

Tämä osio kuvaa vaiheet, jotka sinun tulee tehdä, jos haluat suojata palvelimesi ja saavuttaa PCI DSS -yhteensopivuuden Linux-palvelimella.

Ohjelmiston viimeisimmän version asentaminen

Ennen aloittamista suositellaan päivittämään kaikki palvelimesi ohjelmistot viimeisimpiin versioihin, jos se on mahdollista.

Heikkojen SSL/TLS-salausten ja -protokollien poistaminen käytöstä

Seuraavaksi sinun on suoritettava PCI Compliance Resolver -apuohjelma, joka on saatavilla Plesk-asennushakemistosta. Tämä poistaa käytöstä heikot SSL/TLS-salaukset ja -protokollat Plesk-palvelimien ylläpitämiltä verkko- ja sähköpostipalvelimilta sekä tekee muita suojausmuutoksia.

Apuohjelman suorittaminen:

Kirjaudu palvelimen komentotulkkiin.

Suorita seuraava komento:

plesk sbin pci_compliance_resolver {--enable|--disable} [<service>]

Seuraavia arvoja voidaan käyttää <service>-argumentissa:

  • panel - Suojausmuutosten käyttöönotto sw-cp-serverille (Plesk-palvelimen nginx).

  • apache - Suojausmuutosten käyttöönotto Apache-palvelimelle.

  • courier - Suojausmuutosten käyttöönotto Courier IMAP:lle.

  • dovecot - Suojausmuutosten käyttöönotto Dovecotille.

  • qmail - Suojausmuutosten käyttöönotto qmailille.

  • postfix - Suojausmuutosten käyttöönotto Postfix MTA:lle.

  • proftpd - Suojausmuutosten käyttöönotto ProFTPd:lle.

  • all - Suojausmuutosten käyttöönotto kaikille edellä kuvatuille asennetuille palveluille. Tämä on oletusarvo.

Apuohjelman suorittaminenu00a0``–enable``-valitsimella ottaa käyttöön seuraavat suojausmuutokset määritetyille palveluille:

  • Asettaa seuraavan salausluettelon: "EECDH+AESGCM+AES128:EECDH+AESGCM+AES256:EDH+AESGCM+AES128:EDH+AESGCM+AES256:EECDH+SHA256+AES128:EECDH+SHA384+AES256:EDH+SHA256+AES128:EDH+SHA256+AES256:EECDH+SHA1+AES128:EECDH+SHA1+AES256:EDH+SHA1+AES128:EDH+SHA1+AES256:EECDH+HIGH:EDH+HIGH:AESGCM+AES128:AESGCM+AES256:SHA256+AES128:SHA256+AES256:SHA1+AES128:SHA1+AES256:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!KRB5:!aECDH:!EDH+3DES".

  • Uusimmissa käyttöjärjestelmäversioissa asetetaan seuraavat protokollat:u00a0``”TLSv1.1 TLSv1.2”. Vanhemmissa versioissa (mukaan lukien CentOS 5, Red Hat Enterprise Linux 5, CloudLinux 5) asetetaan seuraavat protokollat:\u00a0”TLSv1 TLSv1.1 TLSv1.2”`` (käytännössä näillä käyttöjärjestelmillä toimii vain TLSv1).

  • Asettaa DH-parametrin koon arvoon 2048.

  • Poistaa SSL/TLS-pakkauksen käytöstä.

  • Asettaa Dovecotille disable_plaintext_auth = yes.

  • Estää selkotekstitodennuksen salaamattomille yhteyksille Courierissa.

Apuohjelman suorittaminenu00a0``–disable``-valitsimella kumoaa osittain --enable-valitsimella tehdyt muutokset. Erityisesti DH-parametrin koko ja SSL/TLS-pakkauksen asetukset säilyvät ennallaan, kun taas salaus- ja protokollaluettelot palautetaan oletusjoukkoon (tämä joukko sisältää protokollat ”TLSv1 TLSv1.1 TLSv1.2” ja salaukset ”HIGH:!aNULL:!MD5”).

Jos haluat muuttaa protokollia ja/tai salauksia kaikille palveluille, voit kutsua server_pref-apuohjelmaa (tämän apuohjelman käytöstä löytyy lisätietoja kohdasta server_pref: Interface and System Preferences).

Jos haluat asettaa tiettyjä parametreja joillekin palveluille, kutsu manuaalisesti sslmng-apuohjelmaa:

plesk sbin sslmng --ciphers="EECDH+AESGCM+AES128:EECDH+AESGCM+AES256:EDH+AESGCM+AES128:EDH+AESGCM+AES256:EECDH+SHA256+AES128:EECDH+SHA384+AES256:EDH+SHA256+AES128:EDH+SHA256+AES256:EECDH+SHA1+AES128:EECDH+SHA1+AES256:EDH+SHA1+AES128:EDH+SHA1+AES256:EECDH+HIGH:EDH+HIGH:AESGCM+AES128:AESGCM+AES256:SHA256+AES128:SHA256+AES256:SHA1+AES128:SHA1+AES256:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!KRB5:!aECDH:!EDH+3DES" --protocols="TLSv1.1 TLSv1.2" --strong-dh --disable-tls-compression

Lisää valitsin "--service <some_service>" yllä olevaan komentoon ja muuta tarvittaessa tietyn palvelun SSL/TLS-asetuksia.

Muista

Sslmng-apuohjelman tekemät muutokset voidaan korvata myöhemmin server_pref-apuohjelman suorituksella tai Plesk-päivityksellä.

Rajoitukset

Seuraavat rajoitukset ovat voimassa:

  1. Qmail-sähköpostiagentin protokollia ei voi määrittää, minkä vuoksi qmail ei ole riittävän turvallinen PCI DSS -vaatimusten täyttämiseen. Postfixin käyttöä suositellaan sen sijaan.

  2. Qmailin salauksia ei voi muuttaa Plesk-apuohjelmien kautta (vaikka ne on mahdollista muuttaa määritystiedoston kautta).

  3. TLSv1.1 ja TLSv1.2 eivät ole tuettuja CentOS 5:ssä, Red Hat Enterprise Linux 5:ssä ja CloudLinux 5:ssä.

  4. Käyttöjärjestelmätoimittajan (CentOS 5, Red Hat Enterprise Linux 5, CloudLinux 5) Apachen DH-parametrin kokoa ei voi hallita.

  5. SSL/TLS-pakkausta ei ole poistettu käytöstä Debian 7:ssä ProFTPd:lle, Dovecotille ja Postfixille.

Ulkoisen pääsyn estäminen MySQL/MariaDB-tietokantapalvelimeen

Sinun on myös estettävä pääsy MySQL/MariaDB-tietokantapalvelimeen ulkoisista osoitteista. Tee tämä suorittamalla seuraava komento:

plesk sbin mysqlmng --bind-address local

Tiedostoja koskevien tietojen suojaaminen

Apache-verkkopalvelimen aiheuttamien tiedostoja ja niiden ominaisuuksia koskevien tietojen paljastamisesta johtuvien tietoturvariskien lieventämiseksi lisää FileETag-direktiivi verkkopalvelimen määritystiedostoon.

Tee tämä seuraavasti:

  1. Avaa verkkopalvelimen määritystiedosto muokattavaksi:

    • Debianissa ja Ubuntussa se sijaitsee tiedostossau00a0``/etc/apache2/plesk.conf.d/roundcube.htaccess.inc``.

    • Muissa Linux-jakeluissa se sijaitsee tiedostossau00a0``/etc/httpd/conf/httpd.conf``.

  2. Lisää riviu00a0``FileETag MTime Size`` ja tallenna tiedosto.

  3. Käynnistä verkkopalvelin uudelleen.

Debian-pakettipohjaisissa järjestelmissä suorita komentou00a0``/etc/init.d/apache2 restart``.

RPM-pakettipohjaisissa järjestelmissä suorita komentou00a0``/etc/init.d/httpd restart``.

FTP-käytön suojaaminen

Jotta ProFTPd ei näytä versiotietojaan FTP-yhteyksissä:

  1. Avaa muokattavaksi ProFTPd-määritystiedostou00a0``/etc/proftpd.conf``.

  2. Lisää tiedostoon seuraava rivi:u00a0``ServerIdent off``.

  3. Tallenna tiedosto.

Jos sallit FTP-yhteydet palvelimeesi, sinun on estettävä kaikki FTP-yhteydet paitsi suojatut FTPS-yhteydet.

Jos haluat sallia palvelimeesi vain FTPS-yhteydet:

  1. Siirry kohtaanu00a0**Työkalut ja asetukset > Suojauskäytäntö**.

  2. Valitse vaihtoehtou00a0**Salli vain suojatut FTPS-yhteydet**u00a0kohdassa FTPS:n käyttöä koskeva käytäntö.

    image-76995.png