Kako Vaš VPS održati sigurnim: hardening, Lynis i ritam održavanja
Uz članak Zaštita Vašeg VPS-a: prvih pet minuta postavljate temelje: ažuriranja, prijavu ključem, vatrozid i fail2ban. No poslužitelj nikada nije gotov. Softver zastarijeva, certifikati istječu, a diskovi se pune. Ovdje ćete pročitati kako nakon toga korak po korak dodatno zaštititi poslužitelj (hardening), kako ga provjeriti alatom Lynis i koji ritam održavanja pomaže.
Četiri načela
- Mala površina napada. Ono čega nema, ne može procuriti. Uklonite usluge i pakete koje ne koristite, a izvana ostavite otvorene samo portove koji su zaista potrebni. Pogledajte Koje usluge slušaju na Vašem VPS-u i što je dostupno izvana?
- Minimalna prava. Bez svakodnevnog rada kao root, usluge pod vlastitim korisnikom, nikada
chmod 777. Pogledajte Čitanje i ispravno postavljanje prava pristupa datotekama na Vašem VPS-u. - Slojevita obrana. Pođite od pretpostavke da će jedna mjera zakazati. Baza podataka koja sluša samo na
127.0.0.1, nalazi se iza vatrozida i ima jaku lozinku ostaje sigurna i ako jedna od te tri zaštite otkaže. - Uvid u ono što se događa. Zapisnici, nadzor i sigurnosne kopije. Bez to troje problem ćete primijetiti tek kada bude prekasno.
CIS Benchmarks ukratko
Center for Internet Security (CIS) izrađuje CIS Benchmarks: popise preporučenih postavki po proizvodu, među ostalim i za Debian i Ubuntu. Podijeljeni su na Level 1 (osnovne mjere bez većih nedostataka, cilj za većinu poslužitelja) i Level 2 (strože, može koštati funkcionalnosti ili brzine). Koristite ih kao referencu: razumite preporuku prije nego što je primijenite, mijenjajte jednu stvar odjednom i zabilježite zašto nešto namjerno ne radite. Oprezno s gotovim skriptama koje „sve iz CIS-a” primjenjuju odjednom: njima se lako zaključate izvan vlastitog poslužitelja.
Provjera alatom Lynis
Lynis je besplatan program otvorenog koda koji pregledava Vaš poslužitelj iznutra. Sam ništa ne mijenja, samo izvještava.
sudo apt install lynis sudo lynis audit system
Na AlmaLinuxu i Rocky Linuxu instalirate ga iz EPEL-a naredbom sudo dnf install lynis. Rezultat čitate ovako:
- Warnings svakako trebate pregledati, primjerice pakete s poznatim ranjivostima (tada postoje ažuriranja na čekanju).
- Suggestions su savjeti. Mnogi su korisni, a neki ne odgovaraju Vašem poslužitelju. Prijedlog da isključite
AllowTcpForwarding, primjerice, prekida Vaše SSH tunele. Nemojte ih slijediti naslijepo. - Svaka poruka ima oznaku u zagradama, poput
[SSH-7408]. Pomoću nje u/var/log/lynis.logpronalazite što je točno testirano. - Hardening index (broj do 100) služi kao smjernica, a ne kao ocjena koju treba loviti.
Prije nego što na temelju Lynisa išta promijenite, napravite snapshot, pogledajte Snapshotovi i sigurnosne kopije Vašeg VPS-a, i znajte kako otvoriti konzolu ako se ipak zaključate izvan poslužitelja.
Ritam održavanja
Primjer za manji poslužitelj. Prilagodite ga vlastitoj situaciji i unesite termine u svoj kalendar.
| Kada | Što |
|---|---|
| Svaki tjedan | Pregledajte obavijesti svog nadzora; systemctl --failed; ponovno pokrenite poslužitelj ako postoji /var/run/reboot-required |
| Svaki mjesec | apt list --upgradable (je li nešto zapelo?); ažurirajte kontejnere; prostor na disku; pogreške u zapisniku pomoću journalctl -p err --since "1 month ago" |
| Svako tromjesečje | Probno vratite sigurnosnu kopiju; pregledajte korisnike i authorized_keys; ponovno pokrenite Lynis |
| Svake godine | Provjerite datum kraja podrške za Vašu verziju i isplanirajte nadogradnju; ažurirajte security.txt ako ga imate; ažurirajte dosje poslužitelja |
Pomoć za pojedine dijelove: Ažuriranja i automatska ažuriranja, Nadzor izvana i iznutra, Sigurnosne kopije alatom restic na drugu lokaciju, Opoziv SSH pristupa Vašem VPS-u za bivšeg zaposlenika ili izgubljeno prijenosno računalo i Nadogradnja Vašeg VPS-a na novu verziju Debiana ili Ubuntua.
Dosje poslužitelja
Za svaki poslužitelj napišite kratak dokument i čuvajte ga izvan poslužitelja, primjerice u svom upravitelju lozinki:
- naziv, IP adrese, operacijski sustav i datum kraja podrške za tu verziju;
- što je pokrenuto (usluge, kontejneri, web-stranice) i koji su portovi za to otvoreni;
- gdje se nalaze sigurnosne kopije, kako ih vraćate i kada ste to posljednji put testirali;
- koje se tajne nalaze na poslužitelju (ne same tajne, nego koje su i gdje ih mijenjate);
- tko ima pristup i što ste namjerno napravili drukčije od zadanih postavki.
Taj dosje pomaže pri kvaru, pri nadogradnji i kada netko drugi preuzme upravljanje.
timedatectl provjerite i je li sat sinkroniziran: s pogrešnim vremenom zapisnici su neupotrebljivi, a certifikati se mogu smatrati nevažećima.Vaš VPS je u potpunosti samostalno upravljan: hardening i održavanje unutar poslužitelja obavljate sami. Mi pomažemo s dijelom koji pripada WebOkéu, kao što su VPS sučelje, mreža, snapshotovi i dnevne sigurnosne kopije.
Želite li naučiti više? Pohađajte besplatni tečaj VPS i upravljanje Linux poslužiteljima, lekciju 10.1 Hardening i CIS načela ili lekciju 10.4 Završna provjera: Vaš poslužitelj pod povećalom.