現在、いくつかの異なるプロジェクトを実行しています。いくつかのPHPアプリといくつかのWordPressインスタンスは、現在すべてWebホスティング会社に保管されています。契約期間がもうすぐ終わります。価格が非常に高くなっているクラウドでVPSサーバーに切り替えることを本当に考えていたとは言えないとうそをつきます。需要が増えたりなくなったりしてコストを削減できるので、パフォーマンスを上げたり下げたりできるのが大好きです。
PHP開発者としての私の経歴と、Linux（ubuntu）の知識のほんの少しのヒントで、私は自分のVPSを実行する必要がある場合のセキュリティについて完全に心配しています。
確かに、私は現在の知識（そしてGoogleの助けを借りて）でインストールして実行することができますが、私のサーバー（LAMP、実際には）がすぐに使えるものを実行することによって安全を維持することを期待するのは現実的です最新の状態に保ちますか？
ありがとう
私はしません。非管理型VPSは非常に安価であるため、同じことを行いましたが、標準の共有ホストセットアップの一部ではないアプリケーションやライブラリを実際にインストールする必要がない限り、私の経験では、純粋な開発者でもあるため、費やす時間はそれだけの価値はありません。
もちろん、それがあなた自身の小さなブログであるか、単に遊んでみたいのでなければ。
しかし、あなた（またはあなたが使用する自動化）がphpを更新し、何らかの理由で失敗する（またはさらに悪いことに、現在のインストールを使用できなくする）と想像してください-これを処理するのに十分ですか？もしそうなら、それはどのくらいかかりますか？手伝ってくれる友達がいますか？
私たちは小さな会社として、VPSを段階的に取り除き、優れたホスティングプロバイダーでホストされているリセラーパッケージに戻っています。
しかし、良い質問です。
サーバーの保守はもう1つ心配する必要があります。開発者の場合は、おそらく開発に重点を置く必要があります。とは言うものの、管理されたルートに行くことは経済的に意味がある必要があります。あなたがおもちゃのプロジェクトに取り組んでいるだけの場合（私は個人的なプロジェクトとホームページに使用する月額$ 20のVPSを持っており、それはかなり手間がかかります）、またはあなたがちょうど軌道に乗っている場合、VPSには安価であり、環境を十分に制御できるという大きな利点があります。サーバーをすばやく再デプロイするのは簡単なので、積極的なバックアップを維持することで、リスクの一部を軽減することもできます。
ただし、収益性に影響を与えない場合は、マネージドホスティングサービスを購入するか、誰かを雇ってインフラストラクチャを管理してもらうことを真剣に検討する必要があります。それはすべて、あなたが根付いた場合に失うことができるものと、コーディングではなくサーバーの管理と回復に投資することができる時間に依存します。
クラウドコンピューティングは、コストではなく、可用性のステートメントとして考慮する必要があります。あなたは最後にコストについて真剣に驚くことができます。私はすでにVPSホスティングを使用するオプションを持っています。優れたVPSホスティングはコストがかかりますが、最近ではVPSに比べて安価な専用ホストを見つけることができます。hivelocity.comをご覧ください–私は彼らのサービスが好きです。
セキュリティについては、ほとんどのVPSホスト会社がインフラストラクチャレベルでセキュリティを管理しており、ファイルにウイルス対策ソフトウェアを使用している会社もあります。専用ホストでは、自分で世話をするか、管理されたサポートサービス（トラッドオフ）を契約する必要があります。LAMPサーバーはどこでも安いです。プライベートVPSを雇うことができ、ある程度のセキュリティを確保できます。DNSホスティングなどのサービスも利用できます。これは構成が面倒です。あなたは疑わしく、ホスティングの経験がないので、VPSはあなたの最初のステップになることができます。その後、独自のサーバーを持つことの利点を見つけたら、専用サーバーに直接移行します。
セキュリティに関しては、AmazonEC2をさまざまな目的で使用することに成功しました。最も安価ではありませんが、インスタンス間の共有データストア、S3への接続、さまざまなホスティングセンターでのホストの実行など、さまざまなクラスターでのホストのグループ化などで非常に理解しやすくなっています。
ファイアウォールが組み込まれているため、SSHの場合はポート22、Webの場合は80のTCPトラフィックを除いて、すべてをオフにすることができます。破損をあまり気にせずに簡単にアップデートを実行できるUbuntuのようなものと組み合わせると、セキュリティの観点からおそらく必要なのはそれだけです。
私があなたを正しく理解しているなら、あなたはウェブホストからVPSへの移行を検討しています、そしてあなたはそれがあなたのコントロール下にあるのでOSが安全であり続けることを保証するスキルを持っているかどうか疑問に思いますか？
自由形式の質問だと思います。管理された環境から管理されていない環境に移行する場合、環境のセキュリティを維持するかどうかはあなた次第です。独自のサーバーを実行している場合は、デフォルトのパスワードが使用されていないこと（データベース、OS、および上位のサービス）、パッチが迅速に識別および適用されていること、ホストファイアウォールが適切に構成されていること、および疑わしいアクティビティを確認する必要があります。アラートはすぐに送信されます。ちょっと待ってください、あなたの現在のウェブホストはあなたのためにこれの何かをしますか？現在のウェブホストと計画されているVPSについての詳細がなければ、リンゴとオレンジをほぼ比較していることになります。
ところで、私はLAMPサーバーのセキュリティについていくらか心配しますが、率直に言って、開発エラー（SQLインジェクション、XSS）とサーバー上で実行されるパッケージ（デフォルトのパスワード+開発エラー）についてもっと心配します。
あなたは楽しみのためにそして学習目的のためにそれをするべきです。それ以外はしないでください。あなたは自分の時間と他の多くの人々の時間を無駄にしている。
これは、SVNサーバーやその他のいくつかをホストするためにEC2インスタンスをセットアップするのにかなりの時間を費やしたためです。つまり、すべてをセットアップしてサーバーをいじるのが好きでした。特に、これまでLINUXサーバーを使用したことがなかったため、多くのことを学びました。しかし、振り返ってみると、私は多くの時間を無駄にし、助けを求めてバグギン@JordanS.Jonesを維持しなければなりませんでした。
セキュリティの観点から許容できるものは、関係者、保護したいもの、製品/サービスの要件によって異なります。
開発サーバーの場合、私は通常それほど気にしないので、通常はサーバーの基本的なセキュリティ保護を行い、それから再び注意を払うことはありません。私の主な関心事は、誰かがセッションを取得し、私のサイクルを使用して何かを実行することです。私は通常IPを気にしないので、それは私にとって心配ではありません。
Sarbanes-Oxley、Safe Harbour、またはその他のPII / PCI基準を満たす必要があるボックスを設定する場合、追加のセキュリティ作業負荷が必要ないという理由だけで、おそらく管理されます。
その中間のどこかに、サーバーを保護したいレベルにサーバーを保護するために必要な時間をコミットするかどうかに基づく判断があります。自分でやりたくない場合は、誰かにお金を払ってやってもらいます。
サーバーを管理するために誰かにお金を払っているという理由だけで、ある程度のセキュリティが得られると想定する場合は注意が必要です。私はセキュリティが本当に後付けであるたくさんの店に出くわしました。
ランプスタックの場合、私はおそらくそれをしません。Windows AzureのようなPlatform-as-a-serviceプロバイダーを使用している場合は、別のケースになります。私自身の経験では、運用上のオーバーヘッドは最小限で、アプリをアップロードするだけで、仮想マシンで実行されます（もちろん、phpをサポートしています）。 ）。
しかし、Linuxの場合、私が知っているそのようなプロバイダーはありません。つまり、オペレーティングシステム、アプリフレームワーク、Webサーバー、およびインスタンスにインストールするその他のものを管理する必要があります。私はそれを自分ではしません。私は、vpsプロバイダーからのマネージドサービスのコストに対して、私のためにこれを行うために関連する経験を持つ人を雇うこととしてオプションを検討し、それらの2つのうちの1つを使用します。
あなたが何をすべきかについてアドバイスしたり、私が何をするかを教えたりするのではなく、私はあなたの質問に答えるつもりです。ボックスのものを最新の状態に保ちますか？」私の意見では、この質問に対する答えは基本的に「はい」です。
もちろん、dietbuddhaは正しいです：許容可能なレベルのセキュリティを構成するものはコンテキストによって異なりますが、現在の（つまりサポートされている）ディストリビューションを使用していて、正常なデフォルトで維持している場合、最もセキュリティに敏感な目的を除いてすべてセキュリティアップデートがあれば、大丈夫です。
私は2つのVPSを持っており、それぞれが現在Ubuntu10.04サーバーを実行しています。そのうちの1つでは、tiger、tripwireのインストールと構成、およびその他のさまざまなセキュリティ対策に時間を費やしています。一方、私は単にfail2banをインストールし、セキュリティ更新を自動に設定して、そのままにしました。彼らは数年前から走っていますが、私も問題はありませんでした。