Jūsų VPS saugumas: sistemos stiprinimas (hardening), Lynis ir reguliarios priežiūros ritmas
Straipsnyje Jūsų VPS apsauga: pirmosios penkios minutės sukuriamas pagrindas: atnaujinimai, prisijungimas raktu, užkarda ir fail2ban. Tačiau serveris niekada nebūna baigtas. Programinė įranga sensta, sertifikatai nustoja galioti, o diskai prisipildo. Čia sužinosite, kaip vėliau žingsnis po žingsnio toliau sustiprinti savo serverio apsaugą (hardening), kaip jį patikrinti su Lynis ir koks priežiūros ritmas padeda.
Keturi principai
- Mažas atakos paviršius. Ko nėra, tas negali nutekėti. Pašalinkite paslaugas ir paketus, kurių nenaudojate, ir iš išorės palikite atidarytus tik tuos prievadus, kurie tikrai reikalingi. Žr. Kokios paslaugos klausosi Jūsų VPS ir kas pasiekiama iš išorės?
- Minimalios teisės. Jokio kasdienio darbo kaip root, paslaugos veikia su atskiru naudotoju, niekada
chmod 777. Žr. Failų teisių skaitymas ir teisingas nustatymas Jūsų VPS. - Daugiasluoksnė apsauga. Laikykite, kad viena priemonė gali nesuveikti. Duomenų bazė, kuri klausosi tik
127.0.0.1, yra už užkardos ir turi stiprų slaptažodį, lieka saugi, net jei viena iš šių trijų priemonių nesuveikia. - Matyti, kas vyksta. Žurnalai, stebėsena ir atsarginės kopijos. Be šių trijų dalykų problemą pastebėsite tik tada, kai bus per vėlu.
Trumpai apie CIS Benchmarks
Center for Internet Security (CIS) rengia CIS Benchmarks: rekomenduojamų nustatymų sąrašus kiekvienam produktui, taip pat ir Debian bei Ubuntu. Jie skirstomi į Level 1 (bazinės priemonės be didelių trūkumų, daugumai serverių tai yra tikslas) ir Level 2 (griežtesnės, gali kainuoti funkcijų ar greičio). Naudokite juos kaip žinyną: prieš taikydami rekomendaciją, ją supraskite, keiskite po vieną dalyką ir užsirašykite, kodėl ko nors sąmoningai nedarote. Būkite atsargūs su paruoštais scenarijais, kurie „viską iš CIS“ pritaiko vienu kartu: taip lengvai galite užsirakinti patys sau prieigą.
Tikrinimas su Lynis
Lynis yra nemokama atvirojo kodo programa, kuri patikrina Jūsų serverį iš vidaus. Ji pati nieko nekeičia, tik pateikia ataskaitą.
sudo apt install lynis sudo lynis audit system
AlmaLinux ir Rocky Linux sistemose ją įdiegsite iš EPEL komanda sudo dnf install lynis. Rezultatus skaitykite taip:
- Warnings būtina peržiūrėti, pavyzdžiui, paketai su žinomomis spragomis (tai reiškia, kad yra neįdiegtų atnaujinimų).
- Suggestions yra patarimai. Daugelis jų naudingi, kai kurie netinka Jūsų serveriui. Pavyzdžiui, pasiūlymas išjungti
AllowTcpForwardingsugadins Jūsų SSH tunelius. Nesivadovaukite jais aklai. - Kiekvienas pranešimas turi kodą laužtiniuose skliaustuose, pavyzdžiui,
[SSH-7408]. Pagal jį faile/var/log/lynis.loggalite rasti, kas tiksliai buvo tikrinama. - Hardening index (skaičius iki 100) yra kryptis, o ne įvertinimas, kurio reikia vaikytis.
Prieš keisdami ką nors pagal Lynis rekomendacijas, sukurkite momentinę kopiją, žr. Jūsų VPS momentinės kopijos ir atsarginės kopijos, ir žinokite, kaip atidaryti konsolę, jei vis dėlto užsirakintumėte prieigą.
Priežiūros ritmas
Pavyzdys nedideliam serveriui. Pritaikykite jį savo situacijai ir įrašykite šiuos darbus į savo kalendorių.
| Kada | Ką daryti |
|---|---|
| Kiekvieną savaitę | Peržiūrėti stebėsenos pranešimus; systemctl --failed; paleisti iš naujo, jei yra failas /var/run/reboot-required |
| Kiekvieną mėnesį | apt list --upgradable (ar kas nors neužstrigo?); atnaujinti konteinerius; disko vieta; klaidos žurnale su journalctl -p err --since "1 month ago" |
| Kiekvieną ketvirtį | Bandomuoju būdu atkurti atsarginę kopiją; peržiūrėti naudotojus ir authorized_keys; iš naujo paleisti Lynis |
| Kiekvienais metais | Patikrinti savo versijos palaikymo pabaigos datą ir suplanuoti atnaujinimą; atnaujinti security.txt, jei jį turite; atnaujinti serverio aprašą |
Pagalba atskiroms dalims: Atnaujinimai ir automatiniai atnaujinimai, Stebėsena iš išorės ir iš vidaus, Atsarginės kopijos su restic į kitą vietą, SSH prieigos prie Jūsų VPS atšaukimas buvusiam darbuotojui arba pametus nešiojamąjį kompiuterį ir Jūsų VPS atnaujinimas į naują Debian arba Ubuntu versiją.
Serverio aprašas
Kiekvienam serveriui parašykite trumpą dokumentą ir laikykite jį ne serveryje, pavyzdžiui, savo slaptažodžių tvarkyklėje:
- pavadinimas, IP adresai, operacinė sistema ir tos versijos palaikymo pabaigos data;
- kas veikia (paslaugos, konteineriai, svetainės) ir kokie prievadai tam atidaryti;
- kur yra atsarginės kopijos, kaip jas atkurti ir kada paskutinį kartą tai išbandėte;
- kokios paslaptys saugomos serveryje (ne pačios paslaptys, o kokios jos yra ir kur jas pakeisti);
- kas turi prieigą ir ką sąmoningai padarėte kitaip nei numatyta standartiškai.
Šis aprašas padeda sutrikimo atveju, atnaujinant sistemą ir kai serverio administravimą perima kitas asmuo.
timedatectl patikrinkite, ar laikrodis sinchronizuotas: esant neteisingam laikui žurnalai tampa nenaudingi, o sertifikatai gali būti laikomi negaliojančiais.Jūsų VPS yra visiškai savarankiškai administruojamas: serverio apsaugos stiprinimą ir priežiūrą serverio viduje atliekate patys. Mes padedame su WebOké dalimi, pavyzdžiui, VPS langu, tinklu, momentinėmis kopijomis ir kasdienėmis atsarginėmis kopijomis.
Norite sužinoti daugiau? Išklausykite nemokamo kurso VPS ir Linux serverių administravimas pamoką 10.1 Sustiprinimas (hardening) ir CIS principai arba pamoką 10.4 Galutinė patikra: Jūsų serveris po lupa.