Что сейчас модно на сервера ставить?

Debian GNU/Linux

debian stable [/thread]

Windows 2012 /w Metro

Что бы такое поставить, чтобы было максимально защищено?

Ханипот. Открытые порты строго на доверенные хосты.

SUSE

ХЗ Хом эдишн

А у чему вы больше привыкли? На чем быстрее поднимете?

Arch, stevejobs рекомендует.

/thread

Дебиан или цэнтос (если есть опыт и умеете готовить SELinux).
А ещё на сервера сейчас модно ставить nginx вместо apache.

OpenBSD.

Если деньги есть - rhel, если нет - debian либо centos

Некоторые хипстеры советуют убунту, но убунта на сервере - немного экстремально для меня.

Главное, удержаться в пределах семейств redhat и debian, т.к. они наиболее распространены и с ними все умеют работать. За арч или генту тебе коллеги спасибо не скажут. Может даже попытаются нанести физические повреждения.

Если деньги есть - rhel, если нет - debian либо centos

У платной версии редхата есть какие-то особые преимущества, которые и правда стоят этих денег?

Особое - сапорт. У меня после цементос возникло легкое отвращение после того, как увидел что пакеты собирают они не всегда руками.

Ставить нужно то, что лучше умеешь готовить. Selinux везде один, отличия будут лишь в количестве софта в репозитории, и пакетном менеджере (а также незначительно в конфигах и прочем).

debian или ubuntu-server

у шапки платная поддержка. в том и преимущество. будешь получать четкие и ясные инструкции, чем куда тыкать. помогут удаленно настроить. можно мониторить через их сервера.

Могу посоветовать прошивку от зюзерутера - opensuse актуальной версии. Тем более что сейчас скоро вроде как новая версия выйдет. http://www.opensuse.org/en/

Да, когда у тебя непонятно что завалится и начальник будет тебя жарить в подсобке, тогда и вспомнишь что переводить стрелки никогда не поздно.

Обыкновенное скидывание ответственности. Вылетает всегда самый младший сотрудник.

Ах, да, это как настройка бздяхороутеров на ПэКа. Ох они и кровушки попили молодым и только взлетающим. В то время когда правильные потсоны спокойно починяли всякие циськи.

У нас в конторе везде CentOS/RHEL стоит. Система стабильнаяя, кушать не просит, заплатки на различные опасные дыры в софте приходят исправно, к тому же софт довольно старый, то бишь уже относительно оттестирован. Из минусов: жертвуется новизна софта в пользу стабильности, не всех такое устроит.

Solaris

Nescafe Gold

Должно быть дорого.
сколько там годовой план на 1-2 сокета?

1000$ за сокет. гхм...

Бинарные сборки Solaris 11 доступны на веб-сайте компании после регистрации.

аБдейты(С) же - не?

но как открыл мануалы по SELinux, PaX, что-то расхотелось

Кто заставляет их ставить? Для обычного апача с похапе и прочим ИМХО такие вещи не нужны.

Если максимально безопасно, и при этом не умереть от геморроя - CentOS + SELinux + автоматически ставить апдейты.

Debian стабилен и удобен, сам использую либо его, либо Ubuntu LTS из-за срока поддержки, но SELinux закрывает значительную часть ещё не обнаруженных уязвимостей.

«Быстро развернуть, поставить и забыть» и «максимально защищено» - по сути противоположные требования. Безопасность всегда противоречит юзабилити. Так что выбирай, что важнее.

Да, только его (selinux) нужно еще правильно настроить. А ТС насколько я понял не горит желанием.

CentOS

То, что лучше всего знаешь.

Для стандартных Apache+PHP он там вроде из коробки настроен? И если mode=targeted поставить, он только на программы, для которых настроен, влиять будет?

Apache+PHP+MySQL

Не модно это нынче, а вот Nginx + python/ruby + mongo модно.

Или накатить уже Debian, но там по дефолту вроде всё плохо.

С чего это?

С чего это?

Там же по дефолту никаких SELinuxов или хотя бы, как в убунте, AppArmor?

В Debian он не установлен по умолчанию даже, а искоробочным конфигам я не очень доверяю. Для апаче и php мне кажется достаточно отрубить шелл эксек и прочие не очень безопасные штуки, и разделить полномочия + от рута ничего не пускать.

Selinux поддержка есть в ядре. Поставить пакеты думаю не проблема, если нужно.

сколько там годовой план на 1-2 сокета?
1000$ за сокет. гхм...

иногда лучше жевать, если не знаешь.
12% от стоимости сервера поддержка стоит.

Лучше KitKat.

OpenBSD

/thread

SELinux был разработан Агентством национальной безопасности США, и затем его исходные коды были представлены для скачивания.

SELinux закрывает значительную часть ещё не обнаруженных уязвимостей.

В свете не столь отдалённых событий я бы не был особо в этом уверен :)

Ты представляешь себе, как работает достаточно большая контора? Правая рука не знает, что творит левая. Причём в государственных организациях, да ещё и ориентированных на безопасность/секретность/..., это проявляется сильнее, чем в коммерческих. Один отдел разработал и открыл ПО, мешающее задачам другого отдела. Да почему бы и нет? SELinux открыт достаточно давно, его исходники с тех пор смотрела и правила куча людей. Даже если в нём есть какая-нибудь уязвимость by design, он только дополняет традиционную модель контроля доступа, то есть хуже по-любому не станет.

убунту

12% от стоимости сервера поддержка стоит.

Оракл же вроде это поменял. 12% - это для их родных серверов.
А если какой-нибудь proliant x86, то стоимость зависит от количества сокетов, и получается где-то на 20-30% дороже, чем если бы это было Оракловое железо.

only Gentoo only Hardcore

+ защищенность + полное понимание что зачем

Для стандартных Apache+PHP он там вроде из коробки настроен?

Вот только нужно знать как именно он для них настроен из коробки. Захочешь часть сайта в /opt запилить, или модуль какой самосборный из /opt/megasoft/mod/ прописать ... и всё опаньки. Дай бог тебе сразу догадаться что это SELinux работать не дает

в audit.log написано про selinux, и вообще это тема простая, её неосиливают лишь самые недалёкие пользователи или вантузятники с дуалбутом.

Вот ты и определись - либо таки по любому придется настраивать под себя, либо оно уже якобы настроено.

only Gentoo
only Hardcore

+ защищенность
+ полное понимание что зачем

+ полное непонимание соседнего администратора.

Главное, удержаться от установки Ubuntu. За убунту тебе коллеги спасибо не скажут. Может даже попытаются нанести физические повреждения.

ЗЫ: ставь gentoo hardened

если соседний администратор не понимает - это его проблемы. да и такой, который не понимает не может администратором называться - максимум «мальчик жмущий any key»

если соседний администратор не понимает - это его проблемы. да и такой, который не понимает не может администратором называться - максимум «мальчик жмущий any key»

Если администратор не понимает, то это не его проблемы, а проблемы команды.

Debian GNU/Linux