Configurer un serveur à la maison à des fins de sauvegarde est-il une mauvaise idée?

J'ai été brûlé par un hébergeur aujourd'hui, ils avaient un problème de centre de données et ils ont prétendu faire des sauvegardes, mais leur sauvegarde était corrompue, j'ai donc perdu un site Web que j'avais sauvegardé sur deux serveurs différents hébergés par eux. Les deux serveurs ont été affectés, les données ont donc disparu. Ce site Web était malheureusement un site Web que je n'avais pas sauvegardé localement.

Donc, je pense acheter un petit serveur bon marché et des disques durs pour faire des sauvegardes périodiques via FTP.

La question est, y a-t-il une menace pour la sécurité de mes ordinateurs connectés sur le même réseau / routeur que le serveur qui aura un accès FTP?

Est-ce même une idée raisonnable d'avoir un serveur à la maison recevant périodiquement des sauvegardes de tous les sites Web de mes clients? À ce stade, je sens que je dois tout faire moi-même en raison de nombreuses histoires de solutions tierces qui ne font pas ce qu'elles prétendent.

Est-ce même une idée raisonnable d'avoir un serveur à la maison recevant périodiquement des sauvegardes de tous les sites Web de mes clients?

Oui, à condition de respecter certaines précautions

Existe-t-il une menace pour la sécurité de mes ordinateurs connectés sur le même réseau / routeur que le serveur qui aura un accès FTP?

Oui, si vous ne suivez pas certaines précautions

1. Que faire si mon serveur cloud est compromis? Ensuite, il est probable que mon PC de sauvegarde à domicile soit également compromis car le serveur cloud peut s'y connecter.
2. Que faire si mon PC de sauvegarde à domicile est compromis? À quoi a-t-il accès?

Donc, vous voulez essentiellement réduire le risque de compromission de l'un ou l'autre système, tout en limitant également l'accès qu'un attaquant aurait dans le cas où il parviendrait à compromettre l'un ou les deux.

Précautions

1. N'utilisez pas FTP car les informations d'identification peuvent être transmises non cryptées, exécutez un serveur SSH sur une boîte Linux et connectez / transférez des fichiers à l'aide scp. Alternative - recherchez un serveur de type SFTP ou SCP qui fonctionne sous Linux, Mac ou Windows.
2. Utilisez un compte SSH limité qui ne dispose que d'un accès scp au répertoire de sauvegarde et d'un accès suffisant pour envoyer la sauvegarde.
3. Utiliser une clé privée pour l'authentification
4. Avec les étapes ci-dessus, si votre serveur cloud distant est piraté et que la clé privée est volée, un attaquant n'aura accès qu'à une sauvegarde d'un serveur auquel il a déjà accès!
5. Exécutez un pare-feu doté de fonctions NAT / redirection de port et DMZ (pourrait même être le routeur WiFi de votre FAI s'il dispose d'un micrologiciel à jour sans vulnérabilité connue - vérifiez ceci - certains anciens routeurs FAI sont criblés de bogues)
6. Placez votre ordinateur de sauvegarde à domicile dans une zone démilitarisée. De cette façon, il n'a pas facilement accès à aucun de vos autres ordinateurs et réduit donc considérablement la menace si elle est compromise. Vous pouvez transférer le port 22 de votre réseau domestique interne vers la DMZ et vous connecter avec des privilèges plus élevés à des fins d'administration / scp.
7. Utilisez la redirection NAT / port pour transférer un port TCP aléatoire élevé (par exemple 55134) de votre IP publique vers votre service SSH - cela rendra le service moins facile à récupérer
8. Restreignez l'accès au pare-feu afin que le port redirigé ne soit visible que par votre serveur cloud distant
9. Ne placez aucune donnée confidentielle, clé privée SSH, mot de passe, etc., etc. sur votre ordinateur de sauvegarde. De cette façon, s'il est compromis, vous réduisez encore plus ce à quoi un attaquant a accès.
10. Gardez tous les systèmes / services à jour, en particulier sur le serveur cloud et le PC de sauvegarde. Des vulnérabilités sont toujours découvertes et peuvent souvent être facilement exploitées par des attaquants, par exemple pour transformer un accès de base en accès de niveau racine. (par exemple https://dirtycow.ninja/ )

Cette liste est le scénario idéal et devrait vous aider à réfléchir aux risques. Si votre routeur FAI n'a pas de fonction DMZ et que vous ne voulez pas investir dans la mise en place d'un pare-feu alternatif, alors vous pourriez être satisfait d'un compromis (personnellement, je ne serais pas satisfait) - dans ce cas, je garantirait que les pare-feu basés sur l'hôte sont actifs sur tous les PC de votre réseau interne et que les mots de passe forts nécessitent une authentification pour tous les partages / services, etc.

Une alternative, comme suggéré par un autre utilisateur (voici un peu plus de détails), serait de scripter votre serveur cloud pour produire les sauvegardes et les rendre disponibles, et scripter votre PC de sauvegarde pour qu'il se connecte via SFTP ou SCP (SSH) pour extraire les sauvegardes .

Cela pourrait bien fonctionner, mais verrouillez le port SSH / SFTP afin que seul votre PC de sauvegarde puisse y accéder, utiliser un compte d'accès limité et penser à certaines des mêmes précautions. Par exemple, que faire si votre PC de sauvegarde est compromis? Ensuite, votre serveur cloud est également compromis, etc.