क्या समय-समय पर घर पर सर्वर होना मेरे सभी क्लाइंट वेबसाइटों का बैकअप लेना भी एक उचित विचार है?
हां, बशर्ते आप कुछ सावधानियों का पालन करें
क्या मेरे कंप्यूटर पर उसी नेटवर्क / राउटर से जुड़ा कोई सुरक्षा खतरा है जिस सर्वर पर FTP पहुंच होगी?
हां, अगर आप कुछ सावधानियों का पालन नहीं करते हैं
- यदि मेरा क्लाउड सर्वर समझौता कर लेता है तो क्या होगा? तब यह संभव है कि मेरा घर-आधारित बैकअप पीसी से भी समझौता किया जाएगा क्योंकि क्लाउड सर्वर इससे जुड़ सकता है।
- अगर मेरे घर-आधारित बैकअप पीसी से समझौता किया जाए तो क्या होगा? इसकी क्या पहुँच है?
इसलिए आप मूल रूप से किसी भी प्रणाली के समझौते के जोखिम को कम करना चाहते हैं, साथ ही यह भी सीमित करते हुए कि किसी हमलावर की पहुंच उस स्थिति में होगी जो वे दोनों में समझौता करने का प्रबंधन करते हैं।
एहतियात
- एफ़टीपी का उपयोग न करें क्योंकि क्रेडेंशियल्स को अनएन्क्रिप्टेड ट्रांसमिट किया जा सकता है, लिनक्स बॉक्स पर एसएसएच सर्वर चला सकते हैं, और फ़ाइलों का उपयोग करके कनेक्ट / ट्रांसफर कर सकते हैं
scp। वैकल्पिक - एक एसएफटीपी या एससीपी प्रकार सर्वर ढूंढें जो लिनक्स, मैक या विंडोज पर चलता है।
- एक सीमित एसएसएच खाते का उपयोग करें जिसमें केवल बैकअप निर्देशिका तक पहुंच है, और केवल बैकअप भेजने के लिए पर्याप्त पहुंच है।
- प्रमाणीकरण के लिए एक निजी कुंजी का उपयोग करें
- उपरोक्त चरणों के साथ, यदि आपका रिमोट क्लाउड सर्वर टूट गया है और निजी कुंजी चोरी हो गई है, तो एक हमलावर को केवल एक सर्वर के बैकअप तक पहुंच प्राप्त होगी जो उनके पास पहले से ही है!
- एक फ़ायरवॉल चलाएं जिसमें NAT / पोर्ट फ़ॉरवर्डिंग और DMZ फीचर्स हो सकते हैं (यहाँ तक कि आपके ISP का वाईफाई राउटर भी हो सकता है, अगर इसमें फर्मवेयर की कोई ज्ञात कमज़ोरी नहीं है - इसे दोबारा जांचें - कुछ पुराने ISP राउटर बग्स से चकित हो जाते हैं)
- अपने घर-आधारित बैकअप कंप्यूटर को एक DMZ में रखें। इस तरह यह आसानी से आपके किसी भी अन्य कंप्यूटर तक पहुंच नहीं पाता है, और इसलिए यदि यह समझौता किया जाता है तो नाटकीय रूप से खतरे को कम करता है। आप अपने आंतरिक होम नेटवर्क से DMZ में पोर्ट 22 को फॉरवर्ड कर सकते हैं और प्रशासन / एससीपी उद्देश्यों के लिए उच्च विशेषाधिकार के साथ लॉग ऑन कर सकते हैं।
- अपने सार्वजनिक आईपी से अपनी SSH सेवा के लिए यादृच्छिक उच्च टीसीपी पोर्ट (जैसे 55134) को अग्रेषित करने के लिए NAT / पोर्ट का उपयोग करें - यह सेवा को कम आसानी से उठाएगा
- फ़ायरवॉल पर पहुँच प्रतिबंधित करें ताकि अग्रेषित पोर्ट केवल आपके दूरस्थ क्लाउड सर्वर को दिखाई दे
- अपने बैकअप कंप्यूटर पर कोई गोपनीय डेटा, SSH निजी कुंजी, पासवर्ड इत्यादि न रखें। इस तरह अगर यह समझौता किया जाता है तो आप आगे यह कम कर सकते हैं कि किसी हमलावर की पहुंच क्या है।
- सभी प्रणालियों / सेवाओं को अद्यतित रखें - विशेष रूप से क्लाउड सर्वर और बैकअप पीसी पर। कमजोरियों की हमेशा खोज की जा रही है और अक्सर हमलावरों द्वारा आसानी से उनका शोषण किया जा सकता है, उदाहरण के लिए मूल पहुंच को मूल स्तर तक पहुंच में बदलना। (उदा। https://dirtycow.ninja/ )
यह सूची आदर्श परिदृश्य है और आपको जोखिमों के बारे में सोचने में मदद करनी चाहिए। यदि आपके आईएसपी राउटर में डीएमजेड सुविधा नहीं है और आप वैकल्पिक फ़ायरवॉल स्थापित करने में निवेश नहीं करना चाहते हैं, तो आप एक समझौते से खुश हो सकते हैं (मैं व्यक्तिगत रूप से इससे खुश नहीं होगा) - उस स्थिति में मैं यह सुनिश्चित करेगा कि होस्ट-आधारित फ़ायरवॉल आपके सभी आंतरिक नेटवर्क पीसी, और मजबूत पासवर्ड पर सक्रिय हों, सभी शेयरों / सेवाओं आदि के लिए प्रमाणीकरण की आवश्यकता हो।
एक विकल्प, जैसा कि किसी अन्य उपयोगकर्ता द्वारा सुझाया गया है (यहां थोड़ा और विस्तार है) बैकअप लेने के लिए अपने क्लाउड सर्वर को स्क्रिप्ट करना और उन्हें उपलब्ध कराना होगा, और बैकअप खींचने के लिए अपने बैकअप पीसी को SFTP या SCP (SSH) के माध्यम से कनेक्ट करना होगा। ।
यह अच्छी तरह से काम कर सकता है, लेकिन SSH / SFTP पोर्ट को बंद कर दें, ताकि केवल आपका बैकअप पीसी ही इसे एक्सेस कर सके, सीमित एक्सेस अकाउंट का उपयोग कर सके और कुछ समान सावधानियों के बारे में सोच सके। अगर आपके बैकअप पीसी से समझौता किया जाता है तो क्या होगा? फिर आपके क्लाउड सर्वर से भी समझौता किया जाता है, आदि।