Ako udržať váš VPS v bezpečí: hardening, Lynis a pravidelný plán údržby
Článok Zabezpečenie vášho VPS: prvých päť minút vám pomôže vytvoriť základ: aktualizácie, prihlasovanie kľúčom, firewall a fail2ban. Server však nikdy nie je hotový. Softvér zastaráva, certifikátom končí platnosť a disky sa zapĺňajú. Tu sa dozviete, ako server potom krok za krokom ďalej zabezpečiť (hardening), ako ho skontrolovať nástrojom Lynis a aký rytmus údržby vám pomôže.
Štyri princípy
- Malá útočná plocha. Čo neexistuje, nemôže byť zraniteľné. Odstráňte služby a balíky, ktoré nepoužívate, a zvonku nechajte otvorené len porty, ktoré sú skutočne potrebné. Pozrite si Ktoré služby počúvajú na vašom VPS a čo je dostupné zvonku?
- Minimálne oprávnenia. Žiadna každodenná práca ako root, služby pod vlastným používateľom, nikdy
chmod 777. Pozrite si Čítanie a správne nastavenie oprávnení súborov na vašom VPS. - Viacvrstvová obrana. Počítajte s tým, že jedno opatrenie zlyhá. Databáza, ktorá počúva len na
127.0.0.1, je za firewallom a má silné heslo, zostane bezpečná, aj keď jedno z týchto troch opatrení zlyhá. - Prehľad o tom, čo sa deje. Logy, monitoring a zálohy. Bez týchto troch vecí si problém všimnete, až keď je neskoro.
Stručne o CIS Benchmarks
Center for Internet Security (CIS) vytvára CIS Benchmarks: zoznamy odporúčaných nastavení pre jednotlivé produkty, aj pre Debian a Ubuntu. Delia sa na Level 1 (základné opatrenia bez väčších nevýhod, pre väčšinu serverov je to cieľ) a Level 2 (prísnejšie opatrenia, ktoré môžu obmedziť funkcie alebo výkon). Používajte ich ako referenciu: odporúčaniu porozumejte skôr, ako ho použijete, meňte vždy len jednu vec a zaznamenajte si, prečo niečo zámerne nerobíte. Dávajte pozor na hotové skripty, ktoré naraz použijú „všetko z CIS“: ľahko si nimi zablokujete prístup k serveru.
Kontrola nástrojom Lynis
Lynis je bezplatný open-source program, ktorý kontroluje váš server zvnútra. Sám nič nemení, iba vytvára správu.
sudo apt install lynis sudo lynis audit system
V systémoch AlmaLinux a Rocky Linux ho nainštalujete z EPEL príkazom sudo dnf install lynis. Výsledok čítajte takto:
- Warnings si naozaj prezrite, napríklad balíky so známymi zraniteľnosťami (vtedy čakajú aktualizácie).
- Suggestions sú odporúčania. Mnohé sú užitočné, niektoré sa na váš server nehodia. Napríklad odporúčanie vypnúť
AllowTcpForwardingpreruší vaše SSH tunely. Neriaďte sa nimi slepo. - Každé hlásenie má kód v hranatých zátvorkách, napríklad
[SSH-7408]. Pomocou neho v/var/log/lynis.lognájdete, čo presne sa testovalo. - Hardening index (číslo do 100) je orientačný ukazovateľ, nie skóre, za ktorým sa treba naháňať.
Skôr ako na základe výsledkov Lynis niečo zmeníte, vytvorte snapshot, pozrite si Snapshoty a zálohy vášho VPS, a zistite si, ako otvoriť konzolu, ak si predsa len zablokujete prístup.
Rytmus údržby
Príklad pre malý server. Prispôsobte ho svojej situácii a zapíšte si termíny do kalendára.
| Kedy | Čo |
|---|---|
| Každý týždeň | Prejsť hlásenia z monitoringu; systemctl --failed; reštartovať, ak existuje /var/run/reboot-required |
| Každý mesiac | apt list --upgradable (nezostáva niečo neaktualizované?); aktualizovať kontajnery; skontrolovať miesto na disku; chyby v logu pomocou journalctl -p err --since "1 month ago" |
| Každý štvrťrok | Skúšobne obnoviť zálohu; skontrolovať používateľov a authorized_keys; znova spustiť Lynis |
| Každý rok | Skontrolovať dátum ukončenia podpory vašej verzie a naplánovať upgrade; aktualizovať security.txt, ak ho máte; aktualizovať dokumentáciu servera |
Pomoc k jednotlivým častiam: Aktualizácie a automatické aktualizácie, Monitoring zvonku a zvnútra, Zálohy pomocou restic na iné miesto, Odobratie SSH prístupu k vášmu VPS bývalému zamestnancovi alebo pri strate notebooku a Upgrade vášho VPS na novú verziu Debianu alebo Ubuntu.
Dokumentácia servera
Pre každý server si napíšte krátky dokument a uchovávajte ho mimo servera, napríklad v správcovi hesiel:
- názov, IP adresy, operačný systém a dátum ukončenia podpory danej verzie;
- čo na serveri beží (služby, kontajnery, webové stránky) a ktoré porty sú na to otvorené;
- kde sú zálohy, ako ich obnoviť a kedy ste to naposledy otestovali;
- aké tajné údaje sú na serveri uložené (nie samotné tajné údaje, ale ktoré to sú a kde ich vymeníte);
- kto má prístup a čo ste zámerne nastavili inak, než je štandard.
Táto dokumentácia pomáha pri poruche, pri upgrade a keď správu prevezme niekto iný.
timedatectl tiež skontrolujte, či sú hodiny synchronizované: pri nesprávnom čase sú logy nepoužiteľné a certifikáty sa môžu považovať za neplatné.Váš VPS je plne samospravovaný: hardening a údržbu vnútri servera vykonávate sami. My vám pomôžeme s časťou, ktorú zabezpečuje WebOké, napríklad s obrazovkou VPS, sieťou, snapshotmi a dennými zálohami.
Chcete sa dozvedieť viac? Absolvujte bezplatný kurz Správa VPS a Linuxových serverov, lekciu 10.1 Hardening a princípy CIS alebo lekciu 10.4 Záverečná kontrola: preverenie vášho servera.