Linux-Servereinrichtung & Sicherheitsoptimierung

Die Sicherung von Produktionsservern ist keine einmalige Aufgabe, sondern ein systematischer Prozess, der eine methodische Abdeckung jeder Angriffsfläche erfordert. Unsere drei Ubuntu 22.04 VPS-Server hosten PHP-Anwendungen, MySQL-Datenbanken und Nginx-Webdienste – ein standardmäßiger LEMP-Stack, der jedoch ein erhebliches Risiko birgt, wenn er nicht ordnungsgemäß gehärtet wird. Wir haben diese Server mit Standard- oder nahezu Standard-Sicherheitskonfigurationen betrieben, und eine interne Überprüfung hat ergeben, dass wir an mehreren Fronten exponiert sind: SSH ist über Port 22 mit Passwortauthentifizierung zugänglich, die Firewall-Regeln sind minimal, es gibt keine automatisierte Eindringungsschutzmaßnahmen, und SSL-Zertifikate werden manuell erneuert.

Wir benötigen einen DevOps-Ingenieur mit nachweislicher Erfahrung in Linux-Produktionsumgebungen, um eine gründliche Sicherheitsprüfung durchzuführen und alle Härtungsmaßnahmen auf dokumentierte, reversible Weise umzusetzen. Jede Änderung muss auf ihre Auswirkungen auf die laufenden Anwendungen getestet werden, bevor sie in der Produktion angewendet wird, und alle Modifikationen müssen umfassend dokumentiert werden, damit unser Team versteht, was getan wurde und warum. Das Engagement sollte mit einem Sicherheitsbericht im PDF-Format abgeschlossen werden, der alle Erkenntnisse, ergriffenen Maßnahmen und verbleibenden Risiken zusammenfasst, sowie einer funktionierenden Überwachungsanordnung, die uns alarmiert, wenn sich die Sicherheitslage ändert.

Umfang der Arbeiten:
— SSH-Härtung: nur Schlüssel-Authentifizierung, benutzerdefinierter Port, Anmeldebeschränkungen, fail2ban
— UFW/iptables-Firewall-Regeln mit dokumentiertem Regelwerk
— Fail2ban-Konfiguration für SSH, Nginx und PHP-FPM
— Let's Encrypt SSL mit automatisierter Zertifikatserneuerung
— Nginx-Härtung: Sicherheitsheader, Durchsetzung von TLS 1.2+, HSTS, CSP
— MySQL-Sicherheitsprüfung und Härtung: Benutzerrechte, Bind-Adresse, Verschlüsselung im Ruhezustand
— Logwatch und E-Mail-Benachrichtigung bei anomalem Verhalten
— ClamAV-Virenschutz und Rootkit-Scanner-Setup
— Cron-basiertes Gesundheitsmonitoring mit Uptime-Alarmen

Liefergegenstände: alle Änderungen angewendet und dokumentiert, PDF-Sicherheitsbericht mit Erkenntnissen, Überwachungs-Dashboard (Netdata oder Äquivalent).