Sicherheit & Härtung
Eine Analytics-Instanz enthält Daten über Ihre Besucher und ist oft öffentlich erreichbar. Ich prüfe Matomo, PHP, Webserver und Betriebssystem mit Werkzeugen wie Lynis, härte die Instanz nach bewährten Vorgaben und belege das Ergebnis mit einem Vorher-nachher-Bericht. Härten bedeutet, abzuschalten, was nicht gebraucht wird, und alles andere so einzustellen, dass Angreifer möglichst wenig Angriffsfläche finden.
So gehe ich vor
- 01Matomo prüfen, Zugänge, Rollen und Token aufräumen
- 02Betriebssystem härten, Pakete und Dienste ausdünnen
- 03PHP und Webserver sicher einstellen
- 04Mit Lynis und Co. prüfen, dokumentieren und übergeben
Matomo selbst
- Aktuelle Matomo- und Plugin-Versionen, nicht genutzte Plugins entfernt
- Zwei-Faktor-Anmeldung, Single Sign-on, Rollen nach dem Prinzip der geringsten Rechte
- API-Token aufgeräumt, Agentur- und Altzugänge entfernt
- Konfigurationsdateien, Logs und temporäre Verzeichnisse nicht von außen erreichbar
Betriebssystem und Pakete
- Systemcheck mit Lynis, ergänzt um Paket- und Update-Prüfungen
- Nicht benötigte Pakete und Dienste entfernen, offene Ports schließen
- Automatische Sicherheitsupdates, etwa mit unattended-upgrades
- SSH nur mit Schlüssel, kein direkter Root-Login, fail2ban und Firewall
- Rechte auf Dateien und Verzeichnisse so eng wie möglich
PHP und Webserver
- Aktuelle PHP-Version, expose_php und display_errors aus
- Nicht benötigte Funktionen deaktivieren, open_basedir und sichere Session-Einstellungen
- TLS nach aktuellem Stand, Sicherheits-Header, Rate Limits für Login und API
- Admin-Oberfläche auf Wunsch nur aus bestimmten Netzen oder per VPN
Nachweis
Sie erhalten die Berichte vor und nach der Härtung, eine Liste der Maßnahmen und einen Plan für Updates und Backups. So können Sie IT-Sicherheit und Revision belegen, was eingestellt ist.
Server-Check
Vom Betriebssystem bis zur Matomo-Konfiguration.
Lynis prüft Pakete, Dienste, SSH, PHP und vieles mehr und fasst das Ergebnis in einem Hardening Index zusammen. Den vergleichen wir vor und nach der Härtung. Die Ausgabe hier ist ein Beispiel.
$ lynis audit system [+] Boot and services - Service Manager [ systemd ] [+] Software: PHP - Checking expose_php option [ ON ] - Checking PHP disabled functions [ NONE ] [+] SSH Support - SSH option: PermitRootLogin [ SUGGESTION ] - SSH option: PasswordAuthentication [ SUGGESTION ] [+] Software: firewalls - Checking host based firewall [ ACTIVE ] [+] Packages - Checking for upgradeable packages [ FOUND ]
- Betriebssystem und Pakete
- SSH, Firewall und fail2ban
- PHP-Einstellungen
- Webserver, TLS und Header
- Matomo, Rollen und Token
- Updates und Backups
FAQ
Häufige Fragen
Was prüfen Sie auf dem Server?
Betriebssystem und installierte Pakete, offene Dienste und Ports, SSH, Firewall, Updates sowie die Einstellungen von PHP, Webserver und Datenbank. Lynis liefert dafür einen strukturierten Überblick mit Hardening Index, den ich gemeinsam mit Ihrer IT bewerte und abarbeite.
Brauche ich dafür Root-Zugang?
Für einen vollständigen Systemcheck ja, zeitlich begrenzt und gern im Beisein Ihrer IT. Alternativ führt Ihre IT die Prüfungen nach meiner Anleitung aus und ich werte die Berichte aus.
Machen Sie auch Penetrationstests?
sonora prüft und härtet Konfiguration und Server. Formale Pentests im laufenden Betrieb bietet unsere Schwestermarke feinwerk.io im SLA-Betrieb an.
Passt dazu
Fragen zu diesem Thema?
Im Erstgespräch klären wir, wo Sie stehen und ob ich der Richtige dafür bin.
Ihr AnsprechpartnerPeter Boehlke, Matomo-Berater aus München, 17 Jahre im Matomo-Team