Jūsu VPS drošības uzturēšana: nostiprināšana, Lynis un regulāras apkopes ritms
Ar rakstu Jūsu VPS aizsardzība: pirmās piecas minūtes Jūs izveidojat pamatu: atjauninājumus, pieteikšanos ar atslēgu, ugunsmūri un fail2ban. Taču serveris nekad nav pabeigts. Programmatūra noveco, sertifikātiem beidzas derīgums un diski piepildās. Šeit uzzināsiet, kā pēc tam soli pa solim vēl vairāk nostiprināt savu serveri (hardening), kā to pārbaudīt ar Lynis un kāds apkopes ritms palīdz.
Četri principi
- Neliela uzbrukuma virsma. Kā nav, tas nevar noplūst. Noņemiet pakalpojumus un pakotnes, ko neizmantojat, un no ārpuses atstājiet atvērtus tikai tos portus, kas patiešām ir nepieciešami. Skatiet Kuri pakalpojumi klausās Jūsu VPS un kas ir sasniedzams no ārpuses?
- Minimālas tiesības. Nekāda ikdienas darba kā root, pakalpojumi darbojas ar savu lietotāju, nekad
chmod 777. Skatiet Failu tiesību nolasīšana un pareiza iestatīšana Jūsu VPS. - Daudzslāņu aizsardzība. Pieņemiet, ka viens pasākums var neizdoties. Datubāze, kas klausās tikai uz
127.0.0.1, atrodas aiz ugunsmūra un kurai ir spēcīga parole, paliek droša, ja viens no šiem trim atkrīt. - Redzēt, kas notiek. Žurnāli, uzraudzība un rezerves kopijas. Bez šiem trim problēmu pamanīsiet tikai tad, kad jau būs par vēlu.
CIS Benchmarks īsumā
Center for Internet Security (CIS) izstrādā CIS Benchmarks: ieteicamo iestatījumu sarakstus katram produktam, arī Debian un Ubuntu. Tie ir sadalīti Level 1 (pamata pasākumi bez lieliem trūkumiem, lielākajai daļai serveru tas ir mērķis) un Level 2 (stingrāki, var maksāt funkcionalitāti vai ātrumu). Izmantojiet tos kā uzziņu avotu: izprotiet ieteikumu, pirms to piemērojat, mainiet vienu lietu vienlaikus un pierakstiet, kāpēc kaut ko apzināti nedarāt. Uzmanieties ar gataviem skriptiem, kas vienā reizē piemēro "visu no CIS": ar tiem viegli varat sev liegt piekļuvi serverim.
Pārbaude ar Lynis
Lynis ir bezmaksas atvērtā koda programma, kas pārbauda Jūsu serveri no iekšpuses. Tā pati neko nemaina, tikai ziņo.
sudo apt install lynis sudo lynis audit system
AlmaLinux un Rocky Linux sistēmā to instalējiet no EPEL ar sudo dnf install lynis. Rezultātu lasiet šādi:
- Warnings patiešām jāapskata, piemēram, pakotnes ar zināmām ievainojamībām (tas nozīmē, ka ir neinstalēti atjauninājumi).
- Suggestions ir ieteikumi. Daudzi ir noderīgi, daži neatbilst Jūsu serverim. Piemēram, ieteikums atslēgt
AllowTcpForwardingsabojās Jūsu SSH tuneļus. Neievērojiet tos akli. - Katram paziņojumam ir kods iekavās, piemēram,
[SSH-7408]. Ar to failā/var/log/lynis.logvarat atrast, kas tieši tika pārbaudīts. - hardening index (skaitlis līdz 100) ir virziena rādītājs, nevis atzīme, pēc kuras dzīties.
Pirms kaut ko maināt, pamatojoties uz Lynis rezultātiem, izveidojiet momentuzņēmumu (snapshot), skatiet Jūsu VPS momentuzņēmumi un rezerves kopijas, un ziniet, kā atvērt konsoli, ja tomēr sev liedzat piekļuvi.
Apkopes ritms
Piemērs nelielam serverim. Pielāgojiet to savai situācijai un ierakstiet šos brīžus savā kalendārā.
| Kad | Ko |
|---|---|
| Katru nedēļu | Pārskatīt uzraudzības paziņojumus; systemctl --failed; restartēt, ja eksistē /var/run/reboot-required |
| Katru mēnesi | apt list --upgradable (vai kaut kas nav iestrēdzis?); atjaunināt konteinerus; pārbaudīt diska vietu; kļūdas žurnālā ar journalctl -p err --since "1 month ago" |
| Katru ceturksni | Izmēģinājuma kārtā atjaunot rezerves kopiju; pārskatīt lietotājus un authorized_keys; atkārtoti palaist Lynis |
| Katru gadu | Pārbaudīt savas versijas atbalsta beigu datumu un plānot jaunināšanu; atjaunināt security.txt, ja tāds ir; atjaunināt servera dokumentāciju |
Palīdzība par atsevišķām daļām: Atjauninājumi un automātiskie atjauninājumi, Uzraudzība no ārpuses un no iekšpuses, Rezerves kopijas ar restic uz citu vietu, SSH piekļuves atsaukšana Jūsu VPS pēc darbinieka aiziešanas vai klēpjdatora pazaudēšanas un Jūsu VPS jaunināšana uz jaunu Debian vai Ubuntu versiju.
Servera dokumentācija
Katram serverim uzrakstiet īsu dokumentu un glabājiet to ārpus servera, piemēram, savā paroļu pārvaldniekā:
- nosaukums, IP adreses, operētājsistēma un šīs versijas atbalsta beigu datums;
- kas darbojas (pakalpojumi, konteineri, vietnes) un kuri porti tam ir atvērti;
- kur atrodas rezerves kopijas, kā tās atjaunot un kad to pēdējo reizi pārbaudījāt;
- kādi noslēpumi glabājas serverī (nevis paši noslēpumi, bet kuri tie ir un kur tos nomainīt);
- kam ir piekļuve un ko apzināti darījāt citādi nekā standartā.
Šī dokumentācija palīdz traucējuma gadījumā, jaunināšanas laikā un tad, ja pārvaldību pārņem kāds cits.
timedatectl pārbaudiet arī, vai pulkstenis ir sinhronizēts: ar nepareizu laiku žurnāli ir neizmantojami un sertifikāti var tikt uzskatīti par nederīgiem.Jūsu VPS ir pilnībā pašpārvaldīts: nostiprināšanu un apkopi servera iekšienē veicat Jūs. Mēs palīdzam ar WebOké daļu, piemēram, VPS ekrānu, tīklu, momentuzņēmumiem un ikdienas rezerves kopijām.
Vēlaties uzzināt vairāk? Apgūstiet bezmaksas kursu VPS un Linux serveru pārvaldība, nodarbību 10.1 Servera nostiprināšana (hardening) un CIS principi vai nodarbību 10.4 Noslēguma pārbaude: Jūsu servera novērtējums.