Как да поддържате Вашия VPS защитен: hardening, Lynis и график за поддръжка
С Защита на Вашия VPS: първите пет минути Вие поставяте основата: актуализации, вход с ключ, firewall и fail2ban. Но един сървър никога не е завършен. Софтуерът остарява, сертификатите изтичат, а дисковете се запълват. Тук ще прочетете как стъпка по стъпка да заключите сървъра си още повече (hardening), как да го проверите с Lynis и какъв ритъм на поддръжка помага.
Четири принципа
- Малка повърхност за атака. Това, което го няма, не може да бъде пробито. Премахнете услугите и пакетите, които не използвате, и оставете отворени отвън само портовете, които наистина са необходими. Вижте Кои услуги слушат на Вашия VPS и какво е достъпно отвън?
- Минимални права. Без ежедневна работа като root, услугите работят под собствен потребител, никога
chmod 777. Вижте Как да разчитате и правилно да зададете правата на файловете на Вашия VPS. - Многослойна защита. Приемете, че една мярка може да се провали. База данни, която слуша само на
127.0.0.1, стои зад firewall и има силна парола, остава защитена, ако една от тези три мерки отпадне. - Да виждате какво се случва. Логове, мониторинг и резервни копия. Без тези три ще забележите проблема едва когато е твърде късно.
Накратко за CIS Benchmarks
Center for Internet Security (CIS) създава CIS Benchmarks: списъци с препоръчителни настройки за всеки продукт, включително за Debian и Ubuntu. Те са разделени на Level 1 (основни мерки без много недостатъци, целта за повечето сървъри) и Level 2 (по-строги, може да струват функционалност или скорост). Използвайте ги като справочник: разберете една препоръка, преди да я приложите, променяйте едно нещо наведнъж и записвайте защо съзнателно не правите нещо. Внимавайте с готови скриптове, които прилагат „всичко от CIS“ наведнъж: с тях лесно можете да заключите самите себе си извън сървъра.
Проверка с Lynis
Lynis е безплатна програма с отворен код, която проверява сървъра Ви отвътре. Тя самата не променя нищо, а само докладва.
sudo apt install lynis sudo lynis audit system
На AlmaLinux и Rocky Linux я инсталирате от EPEL с sudo dnf install lynis. Резултата разчитате така:
- Warnings трябва наистина да прегледате, например пакети с известни уязвимости (тогава има чакащи актуализации).
- Suggestions са съвети. Много от тях са полезни, някои не пасват на Вашия сървър. Например съвет да изключите
AllowTcpForwardingще наруши Вашите SSH тунели. Не ги следвайте сляпо. - Всяко съобщение има код в скоби, например
[SSH-7408]. С него търсите в/var/log/lynis.logкакво точно е тествано. - Hardening index (число до 100) е ориентир, а не оценка, която да преследвате.
Направете snapshot, преди да промените нещо въз основа на Lynis, вижте Snapshots и резервни копия на Вашия VPS, и знайте как да отворите конзолата, ако все пак се заключите извън сървъра.
Ритъм на поддръжка
Пример за малък сървър. Адаптирайте го към Вашата ситуация и запишете моментите в календара си.
| Кога | Какво |
|---|---|
| Всяка седмица | Преглед на известията от мониторинга; systemctl --failed; рестартиране, ако съществува /var/run/reboot-required |
| Всеки месец | apt list --upgradable (остава ли нещо блокирано?); актуализиране на контейнерите; дисково пространство; грешки в лога с journalctl -p err --since "1 month ago" |
| Всяко тримесечие | Пробно възстановяване на резервно копие; преглед на потребителите и authorized_keys; повторно стартиране на Lynis |
| Всяка година | Проверка на крайната дата на поддръжка на Вашата версия и планиране на надграждане; актуализиране на security.txt, ако имате такъв; актуализиране на досието на сървъра |
Помощ за отделните части: Актуализации и автоматични актуализации, Мониторинг отвън и отвътре, Резервни копия с restic на друго място, Отнемане на SSH достъпа до Вашия VPS при бивш служител или изгубен лаптоп и Надграждане на Вашия VPS до нова версия на Debian или Ubuntu.
Досие на сървъра
Напишете кратък документ за всеки сървър и го съхранявайте извън сървъра, например в мениджъра на пароли:
- име, IP адреси, операционна система и крайната дата на поддръжка на тази версия;
- какво работи (услуги, контейнери, уебсайтове) и кои портове са отворени за тях;
- къде се намират резервните копия, как се възстановяват и кога за последно сте тествали това;
- какви тайни данни има на сървъра (не самите тайни, а кои са и къде ги сменяте);
- кой има достъп и какво сте направили съзнателно различно от стандартното.
Това досие помага при проблем, при надграждане и когато някой друг поеме администрирането.
timedatectl, че часовникът е синхронизиран: при грешно време логовете са безполезни, а сертификатите могат да бъдат считани за невалидни.Вашият VPS е изцяло самоуправляем: hardening и поддръжката вътре в сървъра извършвате сами. Ние помагаме с частта на WebOké, като екрана на VPS, мрежата, snapshots и ежедневните резервни копия.
Искате да научите повече? Запишете се за безплатния курс VPS и администриране на Linux сървъри, урок 10.1 Hardening и принципите на CIS или урок 10.4 Финална проверка: Вашият сървър под лупа.