Tartsa biztonságban VPS-ét: hardening, Lynis és rendszeres karbantartási ütemterv
A A VPS biztonságossá tétele: az első öt perc című cikk segítségével lerakja az alapokat: frissítések, kulcsos bejelentkezés, tűzfal és fail2ban. Egy szerver azonban sosem készül el végleg. A szoftverek elavulnak, a tanúsítványok lejárnak, a lemezek megtelnek. Itt olvashatja el, hogyan teheti a szerverét ezután lépésről lépésre még biztonságosabbá (hardening), hogyan ellenőrizheti a Lynis segítségével, és milyen karbantartási ritmus segít.
Négy alapelv
- Kis támadási felület. Ami nincs, az nem lehet sebezhető. Távolítsa el azokat a szolgáltatásokat és csomagokat, amelyeket nem használ, és kívülről csak a valóban szükséges portokat hagyja nyitva. Lásd: Mely szolgáltatások figyelnek a VPS-en, és mi érhető el kívülről?
- Minimális jogosultságok. A napi munkát ne rootként végezze, a szolgáltatások saját felhasználó alatt fussanak, és soha ne használja a
chmod 777parancsot. Lásd: Fájljogosultságok értelmezése és helyes beállítása a VPS-en. - Többrétegű védelem. Induljon ki abból, hogy egy intézkedés kudarcot vallhat. Az az adatbázis, amely csak a
127.0.0.1címen figyel, tűzfal mögött áll és erős jelszóval rendelkezik, akkor is biztonságban marad, ha a három közül az egyik kiesik. - Lássa, mi történik. Naplók, felügyelet és biztonsági mentések. E három nélkül csak akkor veszi észre a problémát, amikor már késő.
A CIS Benchmarks röviden
A Center for Internet Security (CIS) készíti a CIS Benchmarks ajánlásait: termékenként összeállított, ajánlott beállításokat tartalmazó listákat, Debianhoz és Ubuntuhoz is. Két szintre oszlanak: Level 1 (alapvető intézkedések kevés hátránnyal, a legtöbb szerver esetében ez a cél) és Level 2 (szigorúbb, funkciókba vagy sebességbe kerülhet). Használja őket referenciaként: egy ajánlást előbb értsen meg, mielőtt alkalmazza, egyszerre csak egy dolgot módosítson, és jegyezze fel, miért nem alkalmaz tudatosan valamit. Legyen óvatos a kész szkriptekkel, amelyek „a teljes CIS-t” egyszerre alkalmazzák: ezekkel könnyen elzárhatja a saját hozzáférését.
Ellenőrzés a Lynis segítségével
A Lynis egy ingyenes, nyílt forráskódú program, amely belülről vizsgálja át a szervert. A program semmit sem módosít, csak jelentést készít.
sudo apt install lynis sudo lynis audit system
AlmaLinux és Rocky Linux rendszeren az EPEL tárolóból telepítheti a sudo dnf install lynis paranccsal. Az eredményt így értelmezze:
- A Warnings tételeket mindenképpen nézze át, ilyenek például az ismert sebezhetőségekkel rendelkező csomagok (ilyenkor függőben lévő frissítések vannak).
- A Suggestions tételek tanácsok. Sok közülük hasznos, néhány viszont nem illik az Ön szerveréhez. Az
AllowTcpForwardingkikapcsolására vonatkozó javaslat például működésképtelenné teszi az SSH-alagutakat. Ne kövesse őket vakon. - Minden üzenethez tartozik egy szögletes zárójelbe tett kód, például
[SSH-7408]. Ennek segítségével a/var/log/lynis.logfájlban megkeresheti, pontosan mit vizsgált a program. - A hardening index (legfeljebb 100 pontos érték) iránymutatás, nem olyan pontszám, amelyet hajszolni kell.
Mielőtt a Lynis eredményei alapján bármit módosítana, készítsen snapshotot (lásd: A VPS snapshotjai és biztonsági mentései), és tudja, hogyan nyithatja meg a konzolt, ha mégis elveszítené a hozzáférést.
Karbantartási ritmus
Egy példa kisebb szerverhez. Igazítsa a saját helyzetéhez, és vegye fel az időpontokat a naptárába.
| Mikor | Mit |
|---|---|
| Hetente | A felügyeleti értesítések átnézése; systemctl --failed; újraindítás, ha a /var/run/reboot-required fájl létezik |
| Havonta | apt list --upgradable (maradt-e valami függőben?); konténerek frissítése; lemezterület ellenőrzése; hibák a naplóban a journalctl -p err --since "1 month ago" paranccsal |
| Negyedévente | Egy biztonsági mentés próba-visszaállítása; a felhasználók és az authorized_keys átnézése; a Lynis újbóli futtatása |
| Évente | A használt verzió támogatási végének ellenőrzése és a frissítés megtervezése; a security.txt frissítése, ha van ilyen; a szerverdosszié frissítése |
Segítség az egyes feladatokhoz: Frissítések és automatikus frissítések, Felügyelet kívülről és belülről, Biztonsági mentés resticcel egy másik helyre, A VPS SSH-hozzáférésének visszavonása volt munkatárs vagy elveszett laptop esetén és A VPS frissítése a Debian vagy az Ubuntu új verziójára.
Szerverdosszié
Szerverenként készítsen egy rövid dokumentumot, és azt a szerveren kívül tárolja, például a jelszókezelőjében:
- név, IP-címek, operációs rendszer és az adott verzió támogatási végének dátuma;
- mi fut a szerveren (szolgáltatások, konténerek, weboldalak), és ehhez mely portok vannak nyitva;
- hol találhatók a biztonsági mentések, hogyan lehet visszaállítani őket, és mikor tesztelte ezt utoljára;
- milyen titkos adatok vannak a szerveren (nem a tartalmuk, hanem hogy melyek ezek, és hol cserélheti le őket);
- kinek van hozzáférése, és miben tért el tudatosan az alapértelmezéstől.
Ez a dosszié segít hiba esetén, frissítéskor, és akkor is, ha valaki más veszi át az üzemeltetést.
timedatectl paranccsal azt is ellenőrizze, hogy az óra szinkronizálva van-e: helytelen idő mellett a naplók használhatatlanok, a tanúsítványok pedig érvénytelennek minősülhetnek.Az Ön VPS-e teljes egészében saját üzemeltetésű: a szerveren belüli hardeninget és karbantartást Ön végzi. Mi a WebOké oldali részekben segítünk, például a VPS-felülettel, a hálózattal, a snapshotokkal és a napi biztonsági mentésekkel kapcsolatban.
Szeretne többet megtudni? Végezze el ingyenes VPS és Linux-szerverüzemeltetés tanfolyamunkat, azon belül a 10.1 Hardening és CIS-alapelvek vagy a 10.4 Záróellenőrzés: a szerver alapos átvizsgálása leckét.