Einen Server sicher halten

Der Security Advisor ist eine integrierte Checkliste, die dir in klarer Sprache sagt, ob jeder deiner Server sicher eingerichtet ist — und lässt dich die meisten Probleme mit einem Klick beheben. Er ist für alle gedacht, die Server verwalten und Sicherheit haben möchten, ohne Sicherheitsexperte sein zu müssen.

#Überblick

• Prüft Dinge wie Firewalls, Backups, Löschschutz, Monitoring, Alarme und ausstehende Updates
• Sortiert Probleme nach Dringlichkeit und sagt dir genau, was bei jedem zu tun ist
• Funktioniert allein mit den Einstellungen deines Anbieters und sieht noch mehr, sobald der InfraNest-Agent installiert ist
• Dieselben Prüfungen erscheinen einheitlich auf der Serverseite, in deiner Serverliste und auf der Startseite

#Den Security Advisor ausführen

1. Öffne einen Server. Die Karte Protection rechts in der Übersicht zeigt eine Zeile für jeden Schutzmechanismus — Firewall, Backups, Löschschutz, Monitoring, Alarme sowie Updates und Neustarts. Jede Zeile beginnt mit einem einwortigen Status (On, Off oder Not checked — bei Mail-Blocklisten Clean oder Listed; bei Updates Up to date oder Waiting), gefolgt von Details wie „On · daily at 03:00“ oder „Not checked · needs the agent.“ Ein Punkt wiederholt den Status: grün bei bestanden, rot oder orange, wenn dein Eingreifen nötig ist, grau, wenn es nicht geprüft werden konnte. Wo eine Zeile Aufmerksamkeit braucht, ist der Detailtext ein direkter Link zur Lösung.
2. Alles, was gerade offen oder defekt ist — ein offener Port, keine Firewall, ausgeschaltete Backups, ein ausstehender Neustart zum Anwenden von Updates — erscheint zusätzlich als Karte links unter What runs here. Jede Karte erklärt, was falsch ist, was zu tun ist und was festgestellt wurde. Ihr Button führt direkt zur Lösung.
3. Klicke auf See all checks am unteren Rand der Protection-Karte, um alles zu sehen: Empfehlungen mit eigenen Lösungs-Buttons, Prüfungen, die den Agent benötigen, und bestandene Prüfungen.
4. Falls eine Prüfung für einen Server nicht zutrifft, kannst du sie dort ignorieren. Sie zählt dann überall nicht mehr — auf dem Server, in der Serverliste und auf der Startseite.

#Was geprüft wird

• Needs you — keine Firewall; SSH für die ganze Welt offen; ein Datenbank-Port öffentlich zugänglich; Remote Desktop (RDP) für die ganze Welt offen; ein Port ohne Bedarf erreichbar; die Adresse des Servers auf einer Mail-Blockliste; Backups ausgeschaltet; ein ausstehender Neustart zum Anwenden installierter Updates.
• Recommendations — kein Snapshot; Löschschutz aus; Monitoring nicht aktiviert; keine Alarmregel überwacht den Server; kein IPv6; der Server läuft seit über 90 Tagen; kein privates Netzwerk; nicht verbundene Volumes in deinem Konto.

Die Serverliste, die Serverseite und die Startseite verwenden alle dieselben Prüfungen, sodass sie immer übereinstimmen. Ein offener Port, eine fehlende Firewall oder eine offene Datenbank erscheint auch auf der Startseite, wo du es stummschalten oder als beabsichtigt markieren kannst.

NoteEine Stummschaltung oder eine „beabsichtigt“-Markierung gilt nur für genau die Gefährdung, für die sie gesetzt wurde — diese Firewall, dieser Port, dieser Dienst. Öffnet sich später ein anderer, erscheint er neu, statt verborgen zu bleiben.

#Backups

„Backups ausgeschaltet“ wird anhand dessen beurteilt, was dein Anbieter InfraNest bei einer Synchronisierung mitteilt: Hetzner und DigitalOcean melden ein Backup-Fenster, OVHcloud sein automatisches Backup, und TransIP, ob das Backup-Add-on aktiv ist. Antwortet ein Anbieter bei einer Synchronisierung nicht, wird die Prüfung ausgelassen, statt als „aus“ gemeldet zu werden.

#Manche Prüfungen benötigen den Agent

Dein Cloud-Anbieter sieht einen Server nur von außen — er kann nicht erkennen, ob Updates auf einen Neustart warten oder wann der Server zuletzt neu gestartet wurde. Ohne den Agent werden diese Prüfungen als Needs the agent aufgeführt, statt geraten zu werden. Installiere den Agent, und sie werden innerhalb einer Minute ausgefüllt.

Mit dem Agent zeigen die Verfügbarkeits- und Neustart-Prüfungen zusätzlich den Neustart-Verlauf: wie viele unerwartete Neustarts in den letzten 30 Tagen vorkamen und wann und warum der Server zuletzt neu gestartet wurde — aus InfraNest, durch eine Automatisierung, außerhalb von InfraNest oder unerwartet.

#Wie der Server selbst eingerichtet ist

Mit dem Agent auf einem Linux-Server installiert, zeigt der Tab System, wie der Server selbst konfiguriert ist. Der Agent liest Einstellungen aus Dateien, die jeder Benutzer lesen kann — er läuft nie als root und ändert nichts. InfraNest prüft fünf Dinge:

• SSH accepts passwords — sowie ob das gesamte Internet SSH erreichen kann und ob etwas (wie fail2ban oder CrowdSec) wiederholte Anmeldeversuche ausbremst. Treffen alle drei zu, ist es eine Warnung; treffen nur einige zu, ist es ein Hinweis. Ein Port, der nur in einer ListenAddress-Zeile angegeben ist, wird nicht gelesen, und der Hinweis sagt dies. Wenn du dem Agent erlaubt hast, das Systemprotokoll zu lesen, meldet die Prüfung zusätzlich, wie viele fehlgeschlagene Anmeldeversuche in den letzten 24 Stunden aufgetreten sind — nur die Zahl, niemals wer es versucht hat oder von wo.
• Root can log in over SSH — wird markiert, wenn die Passwortanmeldung für root erlaubt ist; eine reine Schlüsselanmeldung ist unbedenklich.
• A new administrator — jemand, der seit der ersten Lesung des Agents zur Gruppe sudo, wheel oder admin hinzugefügt wurde. Warst du das selbst, klicke auf That was us, um dies zu vermerken und die Warnung zu löschen.
• Nothing backs up this server — Anbieter-Backups sind aus, und der Agent sieht weder Backup-Software noch einen backup-ähnlichen geplanten Job. Als wahrscheinlich markiert, nicht sicher — sag Bescheid, falls du auf andere Weise sicherst.
• Security updates are not installed automatically — unattended-upgrades oder dnf-automatic ist aus oder fehlt. Eine Warnung, wenn Updates ausstehen, sonst eine Empfehlung.

Jede Karte erklärt wie wir das wissen — die genaue Einstellung, Datei und Zeile — und gibt die Lösung als Befehl an, den du auf dem Server ausführst, mit einem Kopieren-Button und einem Link zur Dokumentation deiner Distribution.

WarningBevor du die SSH-Passwortanmeldung ausschaltest, bestätige, dass du dich mit einem Schlüssel anmelden kannst — sonst riskierst du, dich selbst auszusperren.

Wenn eine Einstellung nicht gelesen werden kann, weil ihre Datei root-Zugriff benötigt, sagt die Zeile das klar, mit dem Befehl, der sie zeigt, und einem Button Copy the command — dieser Befehl gibt nur Einstellungen aus und ändert nichts.

Weiter unten fasst Security and setup zusammen, wie viele Dinge geprüft wurden und in Ordnung sind, wie viele der Agent nicht lesen kann und wie viele er nie ohne root liest. Klicke auf Show the checks, um beide Listen zu sehen.

Diese Prüfungen benötigen Agent-Version 0.21.0 oder höher und laufen nur unter Linux; unter Windows meldet der Abschnitt, dass er nicht gelesen wird.

#Steht die Adresse des Servers auf einer Mail-Blockliste?

Wurde jemals Spam von der Adresse deines Servers verschickt, lehnen Mailserver dessen Mail möglicherweise ab oder leiten sie in den Spam um — ein häufiger Grund, warum Kontaktformular- oder Bestell-E-Mails „nie ankommen“. InfraNest prüft die öffentliche IPv4-Adresse jedes Servers gegen zwei kostenlose Mail-Blocklisten, SpamCop und PSBL: ein neuer Server innerhalb einer Minute nach dem Hinzufügen, danach täglich bei kostenpflichtigen Plänen und wöchentlich beim Free-Plan.

Die Protection-Karte des Servers zeigt das Ergebnis immer in der Zeile Mail blocklists: Clean, mit Angabe der letzten Prüfung, oder Listed mit Namen der Liste.

Bei einer Listung siehst du Address is on a mail blocklist auf der Serverseite und auf der Home-Seite. Die Karte nennt jede Liste und verlinkt zu ihrer Seite, wo du die Adresse nachschlagen und die Entfernung beantragen kannst.

Was zu tun ist:

• Ein neuer Server — Anbieter verwenden Adressen wieder, bitte daher jetzt um eine andere, bevor etwas von dieser abhängt.
• Ein Server, den du schon länger hast — wahrscheinlich hat etwas darauf Spam versendet. Finde und stoppe es, beantrage dann die Entfernung. Fragst du vor der Behebung an, landest du nur wieder auf der Liste.

Du erhältst außerdem einen Alarm, wenn die Adresse gelistet wird, und einen, wenn sie entfernt wird, plus passende Automatisierungs-Trigger. Nutze Check again unter der Zeile Mail blocklists, um sofort erneut zu prüfen, einmal pro Tag und Server. Der Befund verschwindet von selbst, sobald die Liste die Adresse nicht mehr nennt.

#Sehen, was das Internet wirklich erreichen kann

Eine Firewall-Regel sagt nur, dass ein Port erreicht werden darf. Mit installiertem Agent sieht InfraNest zusätzlich, auf welchen Ports der Server tatsächlich lauscht und wie viele Adressen sich verbinden — öffentlich, privat oder der Server selbst. Zusammen sagt das mehr aus als jedes für sich:

• Open for nothing — eine Regel öffnet einen Port, und nichts lauscht dahinter. Entferne die Regel.
• Only private addresses use it — das gesamte Internet kann den Port erreichen, aber nur dein eigenes Netzwerk verbindet sich. Beschränke die Regel auf dein privates Netzwerk oder eine dynamische IP.
• No firewall in front — etwas, das eigentlich intern sein sollte, lauscht auf jeder Adresse ohne Firewall davor. Lass es auf localhost oder einer privaten Adresse lauschen, oder füge eine Firewall hinzu.
• Open to everyone — eine Datenbank, ein Remote Desktop oder SSH, das jeder erreichen kann und das lauscht.

Die Overview des Servers zeigt diese Probleme unter Reachable from the internet als Tabelle jedes Ports, was die Firewall erlaubt, was lauscht, und die Bewertung. All ports on Networking öffnet die vollständige Liste. Ein problematischer Port hat die Lösung direkt dabei, etwa Limit to Office oder Remove the rule in web-default — im Audit-Log vermerkt.

#Ist eine Datenbank aus dem Internet erreichbar?

Datenbanken und Caches, die für das gesamte Internet offen sind, sind eine häufige Methode, wie kleine Server übernommen werden. Mit installiertem Agent warnt InfraNest dich, wenn drei Dinge zusammenpassen, gezeigt unter How we know:

1. What listens — eine Datenbank oder ein Cache lauscht auf einer öffentlichen Adresse oder auf jeder Adresse.
2. Nothing stops anyone — eine Firewall-Regel erlaubt allen Zugriff, oder es ist keine Firewall verbunden.
3. A public address — der Server hat eine aus dem Internet erreichbare Adresse.

Die Karte sagt, wie sicher sie sich ist: Certain, wenn InfraNest sowohl die Firewall als auch das Lauschen liest; Very likely, wenn sie die Firewall deines Anbieters nicht lesen kann (eine Firewall auf Serverebene könnte den Port trotzdem schließen).

Um das zu beheben, lass die Datenbank nur auf localhost oder einem privaten Netzwerk lauschen, oder beschränke die Firewall-Regel. Close it in the firewall öffnet die Firewall zur Änderung. Unter Windows liest der Agent keine lauschenden Ports, daher erscheint diese Warnung dort nie.

#Ein Port, der diese Woche zu lauschen begann

Wenn etwas beginnt, auf einem neuen Port zu lauschen, sagt InfraNest dir das — im Tab Workloads des Servers, in seiner Overview, wenn jeder ihn erreichen kann, und auf der Home-Seite. In der Port-Tabelle unter Networking ist der Port als New markiert.

Die Karte zeigt, wann er zuerst gesehen wurde und was kurz davor geschah (ein Deploy, ein startender Dienst, ein Neustart), und wer ihn erreichen kann: jeder, einige Adressen, nur das private Netzwerk oder niemand von außen. Ein Port, den jeder erreichen kann, hat einen farbigen Rahmen; eine für alle offene Datenbank hat einen roten.

Klicke auf Expected, wenn du den Port absichtlich geöffnet hast — InfraNest merkt sich dies für diesen Server und Port. Show details zeigt, was jede Quelle gesehen hat. „Expected“ wird im Audit-Log vermerkt und kann auf der Startseite rückgängig gemacht werden.

Was als neu gilt:

• Nur Ports, die nach der ersten Lesung des Agents zu lauschen begannen
• Ein Port, der stoppte und innerhalb der Woche zurückkam, gilt nicht als neu
• Nur von localhost aus erreichbare Ports sind ausgeschlossen
• Ein Port gilt eine Woche nach dem ersten Auftauchen nicht mehr als neu

NoteDer Agent kann nicht immer erkennen, welches Programm einen Port belegt, oder Ports sehen, die Docker veröffentlicht, ohne dass ein Prozess auf dem Server selbst lauscht — diese werden als Cannot tell angezeigt, statt als Problem gekennzeichnet zu werden.

#Monitoring und Alarmregeln sind zwei getrennte Prüfungen

• Monitoring not activated — es werden noch keine Metriken erfasst. Die Lösung öffnet die Monitoring-Seite des Servers, um es zu aktivieren und den Agent zu installieren.
• No alert rule is watching this server — Metriken fließen, aber nichts informiert dich, wenn etwas schiefgeht. Die Lösung öffnet Alert rules.

Die Prüfung für Alarmregeln erscheint erst, sobald Monitoring aktiviert ist, und eine deaktivierte Regel zählt nicht dazu.

TipFalls du gerade erst anfängst, richte einmal Standard-Alarmregeln für deinen Workspace ein — jeder Server, auch später hinzugefügte, übernimmt sie automatisch.