Mantenere sicuro il Suo VPS: hardening, Lynis e una routine di manutenzione
Con Proteggere il Suo VPS: i primi cinque minuti Lei getta le basi: aggiornamenti, accesso con chiave, un firewall e fail2ban. Ma un server non è mai finito. Il software invecchia, i certificati scadono e i dischi si riempiono. Qui scoprirà come proteggere ulteriormente il Suo server passo dopo passo (hardening), come controllarlo con Lynis e quale ritmo di manutenzione può aiutarLa.
Quattro principi
- Una superficie di attacco ridotta. Ciò che non c'è non può presentare falle. Rimuova i servizi e i pacchetti che non utilizza e mantenga aperte verso l'esterno solo le porte realmente necessarie. Consulti Quali servizi sono in ascolto sul Suo VPS e cosa è raggiungibile dall'esterno?
- Privilegi minimi. Nessun lavoro quotidiano come root, servizi eseguiti con un proprio utente, mai
chmod 777. Consulti Leggere e impostare correttamente i permessi dei file sul Suo VPS. - Difesa a più livelli. Parta dal presupposto che una misura possa fallire. Un database in ascolto solo su
127.0.0.1, protetto da un firewall e con una password robusta, resta sicuro anche se una di queste tre misure viene meno. - Vedere cosa succede. Log, monitoraggio e backup. Senza questi tre elementi si accorgerà di un problema solo quando sarà troppo tardi.
I CIS Benchmarks in breve
Il Center for Internet Security (CIS) redige i CIS Benchmarks: elenchi di impostazioni consigliate per ciascun prodotto, anche per Debian e Ubuntu. Sono suddivisi in Level 1 (misure di base senza grandi svantaggi, l'obiettivo per la maggior parte dei server) e Level 2 (più rigorose, possono costare funzionalità o prestazioni). Li utilizzi come riferimento: comprenda una raccomandazione prima di applicarla, modifichi una cosa alla volta e annoti perché sceglie consapevolmente di non applicare qualcosa. Faccia attenzione agli script pronti all'uso che applicano "tutto il CIS" in una volta sola: con questi è facile chiudersi fuori.
Controllare con Lynis
Lynis è un programma open source gratuito che esamina il Suo server dall'interno. Non modifica nulla, si limita a generare un rapporto.
sudo apt install lynis sudo lynis audit system
Su AlmaLinux e Rocky Linux lo installa da EPEL con sudo dnf install lynis. Il risultato si legge così:
- Warnings: vanno esaminati con attenzione, ad esempio pacchetti con vulnerabilità note (in tal caso ci sono aggiornamenti in sospeso).
- Suggestions: sono consigli. Molti sono utili, alcuni non si adattano al Suo server. Un suggerimento di disattivare
AllowTcpForwarding, ad esempio, interrompe i Suoi tunnel SSH. Non li segua alla cieca. - Ogni segnalazione ha un codice tra parentesi quadre, come
[SSH-7408]. Con questo codice può cercare in/var/log/lynis.logcosa è stato testato esattamente. - L'hardening index (un numero fino a 100) è un'indicazione di direzione, non un voto da inseguire.
Crei uno snapshot prima di apportare modifiche in base a Lynis, consulti Snapshot e backup del Suo VPS, e sappia come aprire la console nel caso in cui si chiuda comunque fuori.
Un ritmo di manutenzione
Un esempio per un piccolo server. Lo adatti alla Sua situazione e inserisca le scadenze nella Sua agenda.
| Quando | Cosa |
|---|---|
| Ogni settimana | Verificare le notifiche del monitoraggio; systemctl --failed; riavviare se esiste /var/run/reboot-required |
| Ogni mese | apt list --upgradable (qualcosa resta in sospeso?); aggiornare i container; spazio su disco; errori nel log con journalctl -p err --since "1 month ago" |
| Ogni trimestre | Eseguire un ripristino di prova di un backup; verificare utenti e authorized_keys; eseguire di nuovo Lynis |
| Ogni anno | Controllare la data di fine supporto della Sua versione e pianificare un aggiornamento; aggiornare security.txt se presente; aggiornare il Suo dossier del server |
Aiuto sui singoli aspetti: Aggiornamenti e aggiornamenti automatici, Monitoraggio dall'esterno e dall'interno, Backup con restic verso un'altra posizione, Revocare l'accesso SSH al Suo VPS per un ex collaboratore o un portatile smarrito e Aggiornare il Suo VPS a una nuova versione di Debian o Ubuntu.
Un dossier del server
Per ogni server, scriva un breve documento e lo conservi al di fuori del server, ad esempio nel Suo password manager:
- nome, indirizzi IP, sistema operativo e data di fine supporto di quella versione;
- cosa è in esecuzione (servizi, container, siti web) e quali porte sono aperte a tale scopo;
- dove si trovano i backup, come si esegue il ripristino e quando lo ha testato l'ultima volta;
- quali segreti sono presenti sul server (non i segreti stessi, ma quali sono e dove li sostituisce);
- chi ha accesso e cosa ha fatto consapevolmente in modo diverso dallo standard.
Questo dossier è utile in caso di guasto, durante un aggiornamento e quando qualcun altro subentra nella gestione.
timedatectl che l'orologio sia sincronizzato: con un orario errato i log diventano inutilizzabili e i certificati possono risultare non validi.Il Suo VPS è completamente autogestito: l'hardening e la manutenzione all'interno del server sono a Suo carico. Noi La aiutiamo con la parte di WebOké, come la schermata del VPS, la rete, gli snapshot e i backup giornalieri.
Vuole saperne di più? Segua il corso gratuito VPS e gestione di server Linux, lezione 10.1 Hardening e principi CIS o lezione 10.4 Verifica finale: il Suo server sotto esame.