Mențineți VPS-ul dumneavoastră în siguranță: hardening, Lynis și un program regulat de întreținere
Cu ajutorul articolului Securizarea VPS-ului dumneavoastră: primele cinci minute puneți bazele: actualizări, autentificare cu cheie, un firewall și fail2ban. Însă un server nu este niciodată gata. Software-ul se învechește, certificatele expiră, iar discurile se umplu. Aici aflați cum vă securizați serverul pas cu pas în continuare (hardening), cum îl verificați cu Lynis și ce ritm de întreținere vă ajută.
Patru principii
- O suprafață de atac redusă. Ce nu există nu poate avea breșe. Eliminați serviciile și pachetele pe care nu le folosiți și lăsați deschise din exterior doar porturile cu adevărat necesare. Consultați Ce servicii ascultă pe VPS-ul dumneavoastră și ce este accesibil din exterior?
- Drepturi minime. Nu lucrați zilnic ca root, rulați serviciile sub un utilizator propriu și nu folosiți niciodată
chmod 777. Consultați Citirea și setarea corectă a permisiunilor fișierelor pe VPS-ul dumneavoastră. - Apărare pe mai multe niveluri. Porniți de la ideea că o măsură va eșua. O bază de date care ascultă doar pe
127.0.0.1, se află în spatele unui firewall și are o parolă puternică rămâne în siguranță dacă una dintre aceste trei măsuri cedează. - Să vedeți ce se întâmplă. Jurnale, monitorizare și backupuri. Fără acestea trei, observați o problemă abia când este prea târziu.
CIS Benchmarks pe scurt
Center for Internet Security (CIS) elaborează CIS Benchmarks: liste cu setări recomandate pentru fiecare produs, inclusiv pentru Debian și Ubuntu. Acestea sunt împărțite în Level 1 (măsuri de bază fără prea multe dezavantaje, obiectivul pentru majoritatea serverelor) și Level 2 (mai stricte, pot costa funcționalitate sau viteză). Folosiți-le ca referință: înțelegeți o recomandare înainte de a o aplica, schimbați un singur lucru odată și notați de ce alegeți în mod conștient să nu aplicați ceva. Aveți grijă cu scripturile gata făcute care aplică „tot ce recomandă CIS” dintr-o dată: cu ele vă puteți bloca ușor accesul.
Verificarea cu Lynis
Lynis este un program gratuit, open-source, care vă verifică serverul din interior. Nu modifică nimic, doar raportează.
sudo apt install lynis sudo lynis audit system
Pe AlmaLinux și Rocky Linux îl instalați din EPEL cu sudo dnf install lynis. Rezultatul se interpretează astfel:
- Warnings trebuie verificate cu atenție, de exemplu pachetele cu vulnerabilități cunoscute (înseamnă că aveți actualizări în așteptare).
- Suggestions sunt recomandări. Multe sunt utile, unele nu se potrivesc serverului dumneavoastră. De exemplu, o sugestie de a dezactiva
AllowTcpForwardingvă strică tunelurile SSH. Nu le urmați orbește. - Fiecare mesaj are un cod între paranteze, cum ar fi
[SSH-7408]. Cu acesta căutați în/var/log/lynis.logce anume a fost testat. - Hardening index (un număr până la 100) este un indicator de direcție, nu o notă după care să alergați.
Creați un snapshot înainte de a modifica ceva pe baza Lynis, consultați Snapshoturi și backupuri ale VPS-ului dumneavoastră, și asigurați-vă că știți cum deschideți consola dacă totuși vă blocați accesul.
Un ritm de întreținere
Un exemplu pentru un server mic. Adaptați-l la propria situație și treceți momentele în agenda dumneavoastră.
| Când | Ce |
|---|---|
| Săptămânal | Verificați notificările de la monitorizare; systemctl --failed; reporniți dacă există /var/run/reboot-required |
| Lunar | apt list --upgradable (a rămas ceva blocat?); actualizați containerele; spațiul pe disc; erorile din jurnal cu journalctl -p err --since "1 month ago" |
| Trimestrial | Restaurați un backup de probă; verificați utilizatorii și authorized_keys; rulați din nou Lynis |
| Anual | Verificați data de sfârșit a suportului pentru versiunea dumneavoastră și planificați un upgrade; actualizați security.txt dacă îl aveți; actualizați dosarul serverului |
Ajutor pentru fiecare componentă: Actualizări și actualizări automate, Monitorizare din exterior și din interior, Backupuri cu restic într-o altă locație, Revocarea accesului SSH la VPS-ul dumneavoastră în cazul unui fost angajat sau al unui laptop pierdut și Actualizarea VPS-ului dumneavoastră la o versiune nouă de Debian sau Ubuntu.
Un dosar al serverului
Redactați pentru fiecare server un document scurt și păstrați-l în afara serverului, de exemplu în managerul de parole:
- numele, adresele IP, sistemul de operare și data de sfârșit a suportului pentru acea versiune;
- ce rulează (servicii, containere, site-uri web) și ce porturi sunt deschise pentru acestea;
- unde se află backupurile, cum le restaurați și când ați testat ultima dată acest lucru;
- ce secrete se află pe server (nu secretele în sine, ci care sunt și unde le înlocuiți);
- cine are acces și ce ați făcut în mod conștient diferit față de standard.
Acest dosar vă ajută în cazul unei defecțiuni, la un upgrade și atunci când altcineva preia administrarea.
timedatectl că ceasul este sincronizat: cu o oră greșită, jurnalele devin inutilizabile, iar certificatele pot fi considerate nevalide.VPS-ul dumneavoastră este complet autogestionat: hardeningul și întreținerea din interiorul serverului le efectuați dumneavoastră. Noi vă ajutăm cu partea WebOké, cum ar fi ecranul VPS, rețeaua, snapshoturile și backupurile zilnice.
Doriți să aflați mai multe? Urmați cursul gratuit VPS și administrarea serverelor Linux, lecția 10.1 Hardening și principiile CIS sau lecția 10.4 Verificarea finală: serverul dumneavoastră la control.