Sicherheit - Shared-Hosting oder Vserver

Chibi88

Lt. Commander
Registriert
Dez. 2007
Beiträge
1.307
Hallo,

inwieweit sind shared-hosting Angebote zu empfehlen im Gegensatz zu Vservern oder dedizierten Servern? Sind Shared-Hoster nicht unsicher, weil sich die Server mehrere Personen teilen und es nur eine Infektion auf dem Server geben muss, damit man auch betroffen ist?
 
Bei vServer müsste man aus der VM ausbrechen und solche Möglichkeiten sind extrem selten/wertvoll.

Shared ist nur Webhosting, also etwas sicherer, da die Möglichkeiten beschränkt sind.
 
Zuletzt bearbeitet:
Chibi88 schrieb:
Hallo,

inwieweit sind shared-hosting Angebote zu empfehlen im Gegensatz zu Vservern oder dedizierten Servern? Sind Shared-Hoster nicht unsicher, weil sich die Server mehrere Personen teilen und es nur eine Infektion auf dem Server geben muss, damit man auch betroffen ist?
Ein vServer ist nicht weniger unsicher, wie ein Shared Hosting Paket. Es ist zwar richtig, dass sich bei einem vServer mehrere Personen eine Hostmaschine teilen, jedoch ist nicht die Hostmaschine automatisch infiziert, wenn ein vServer infiziert ist, da jeder vServer als Container virtualisiert ist.

Ansonsten gilt, solange die Hostmaschine gesichert ist, ist auch vServer sicher.

Der Unterschied zum Shared Hosting ist, dass du für die Sicherheit des vServer selbst als Administrator verantwortlich bist.
 
webhosterin schrieb:
Der Unterschied zum Shared Hosting ist, dass du für die Sicherheit des vServer selbst als Administrator verantwortlich bist.
this.

Ein ordentlich konfiguriertes Shared Hosting kann wesentlich sicherer sein, als ein vServer mit inkompetentem Admin.
 
Das Thema scheint dich ja nicht loszulassen ;)

Pauschal kann man das nicht sagen ob und wie sicher ein shared hosting Angebot ist, das hängt davon ab wie der Anbieter das technisch umgesetzt hast. Das können LXCs sein oder Docker - Container oder auch einfach "nur" haufenweise vHosts eines Webservers, die alle unter einem anderen User laufen. Wenn das alles halbwegs sauber konfiguriert ist, ist eine Infektion meines "Nachbarn" auf so einem Hoster mir ziemlich egal, da der Nachbar-User nur Rechte auf seinen Bereich hat. Kann ein Angreifer sich natürlich höhere Rechte erschleichen, so sind u.U. andere Kunden ebenfalls theoretisch kompromittiert. Dafür muss aber zuerst dein Bereich "fallen" und der Angreifer sich anschließend per Privilege Escalation" höhere Rechte verschaffen.

Ähnliches Spiel bei einem vServer, da muss man aber ein paar andere technische Hürden überwinden, die wesentlich höher sind. Die meisten vernachlässigen aber die Sicherheit ihres vServers, sodass diese zwar relativ leicht übernommen werden können aber von da aus kaum/sehr schwer Zugriff auf die "Nachbarn". Es ist aber sehr sehr sehr selten, dass mal ein Exploit auftaucht, mit dem man aus einer VM ausbrechen und Nachbarn oder Hypervisoren angreifen kann und wenn doch werden diese Lücken zeitnah durch Updates geschlossen.
Bei einem dedizierten System bist du allein und für alles allein verantwortlich, vergleichbar zu einem vServer nur musst dir die Ressourcen wie Storage, RAM und CPU nicht teilen.

Übrigens: DIE Sicherheit gibt es nicht, also musst du schon definieren wovor/wogegen du dich absichern willst. Applikation, Serverdienst, OS, Remote Code Execution oder Datenabfluss, usw. usf.
 
Das beruhigt mich etwas. Ich meine mal gelesen zu haben, dass 2010 / 2012 rum viele shared-hoster masseninfiziert wurden und so Daten abgegriffen worden sind.

Wie kann ich denn sehen, ob ein shared-hoster eine gute Konfiguration hat? Da muss ich ja vertrauen, kann aber nicht kontrollieren, oder?

Nachtrag: Gibt es als eigener Admin wirklich so viel zu beachten, wenn man eine Seite fertig aufgesetzt hat? Also wenn UFW, Fail2Ban, abgesicherter SSH mit eigenem Key und ohne Passwort Authentifizierung mit aktiviertem Apache SSL läut?

@snaxilian

Ja, stimmt. Ich bin mir echt unsicher, ob mir einen Vserver aufsetzen soll oder ob ich auf Platzhirsche vertraure. Geht hauptsächlich und eine eigene Cloud und einem kleinen Forum.
 
Zuletzt bearbeitet: (Antwort)
Ja verdammt es gibt da das ein oder andere zu beachten. Lies meine Posts (und die der anderen) in deinen anderen Threads. Das initiale aufsetzen und installieren geht oft einfach von der Hand, Anleitungen gibt's ja mehr als genug.

- Wie ist deine langfristige(!) Strategie zum Patchmanagement? Also der Applikationen an sich, den benötigten Abhängigkeiten, z.B. PHP, Apache, usw und dem OS? Ein apt-get upgrade reicht da eigentlich nicht wirklich aus...
- Hast du schon mal ein Debian, Ubuntu, Cent OS etc von einer auf die andere Version aktualisiert und alle Stolpersteine danach repariert?
- Wie stellst du sicher bzw informierst dich, ob dein System ungewöhnliches Verhalten zeigt (was ein Hinweis auf einen "Einbruch" sein kann) sprich weißt du, wie du ein Host-IDS aufsetzt und vernünftig konfigurierst?
- Hast du eine Backup-Strategie?
- Funktioniert diese? Kannst du gelöschte Daten wiederherstellen als auch ein komplettes Disaster Recovery? Hast du das auch wirklich getestet?
- Weißt du, wie du einen Fehler analysieren kannst wenn nach einem Update etwas nicht mehr so funktioniert wie vorher?
- Wer kümmert sich um das System wenn du keine Zeit/Lust/Urlaub hast?

Ein Server ist keine fire and forget Geschichte und wenn es nicht so viel zu tun wäre, was machen dann die ganzen Vollzeit-Admins deiner Meinung nach? Jaja, ich weiß, die lungern nur auf reddit rum oder gucken Mr. Robot^^
 
Zurück
Oben