Admin: Tipps

Regeln für die Adminstration:

  • Separater Zugang (eigene URL)

  • möglichst nur bestimmte IPs zulassen (am besten nur eine)

  • zwingend SSL sein

  • ein Client-Zertifikat voraussetzen

  • nur lange, vom System erzeugte Zufalls-Kennwörter zulassen

  • ggf. nur per VPN/IP erreichbar sein

  • bei zu vielen Fehlversuchen IPs blocken und Alarme senden

  • alle Zugriffe und alle Änderungen unveränderlich protokollieren

  • nur die minimalsten Rechte haben, ggf. nur lesenden Zugriff aufs SQL, und nur ganz bestimmte besondere Bereiche ggf. auch schreibende (eigener DB-Nutzer und sp’s).

  • von Sicherheitsprofis geprüft worden sein vor der Einrichtung

  • von Sicherheitsprofis geprüft worden sein nach der Einrichtung

  • von Sicherheitsprofis geprüft worden sein in regelmäßigen Abständen

  • überhaupt sollte man superparanoid sein :-)

  • Im Zweifel:

    • sollte man lieber *keine Adminsoftware auf dem Produktivsystem speichern sondern native Clients nutzen, um per VPN oder SSH Tunnel (via Key) mit dem entsprechenden Dienst zu arbeiten …

Log-Einträge

Hier ein paar Logeinträge von einen System das weder MySQL noch PHP nutzt!