Ubuntu սերվերի պաշտպանություն․ տեղադրումից հետո առաջին ժամը

Նոր տեղադրված Linux սերվերը, որը միացված է ինտերնետին, մի քանի րոպեում սկսում է ստանալ մուտքի փորձեր։ Այս քայլերը տևում են մոտ մեկ ժամ և փակում են ներթափանցման ամենատարածված ճանապարհները։ Դրանք աշխատում են Ubuntu-ի ընթացիկ LTS թողարկումներում և, փոքր փոփոխություններով, Debian-ում։

Քայլ 1. Ստեղծեք ադմինիստրատորի անձնական հաշիվ

Յուրաքանչյուր ադմինիստրատոր ունի իր հաշիվը՝ sudo իրավունքներով․ ոչ մի ընդհանուր մուտք և ոչ մի աշխատանք root-ով։

sudo adduser admin1
sudo usermod -aG sudo admin1

Քայլ 2. Մուտք գործեք SSH բանալիներով

Ստեղծեք բանալի ձեր համակարգչում և պատճենեք այն սերվեր։ Պաշտպանեք բանալին գաղտնաբառային արտահայտությամբ։

# on your own computer:
ssh-keygen -t ed25519
ssh-copy-id admin1@SERVER_IP

Քայլ 3. Անջատեք root-ով և գաղտնաբառով մուտքը SSH-ով

Համոզվելով, որ բանալիով մուտքն աշխատում է, անջատեք գաղտնաբառով և root-ով մուտքը։

sudo nano /etc/ssh/sshd_config.d/99-hardening.conf
# put these lines in the file:
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
# check and apply:
sudo sshd -t && sudo systemctl restart ssh

Քայլ 4. Միացրեք firewall-ը

Արգելափակեք ամբողջ մուտքային երթևեկը, բացի սերվերին իսկապես անհրաժեշտից։ Օրինակում SSH-ը թույլատրված է միայն գրասենյակային կամ VPN ցանցից, իսկ վեբ սերվերը բաց է բոլորի համար։

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow from 192.168.88.0/24 to any port 22 proto tcp
sudo ufw allow 80,443/tcp
sudo ufw enable
sudo ufw status verbose

Քայլ 5. Տեղադրեք թարմացումները և միացրեք անվտանգության ավտոմատ թարմացումները

Անվտանգության թարմացումները կտեղադրվեն ամեն օր։ Պլանավորեք վերագործարկումները միջուկի թարմացումներից հետո։

sudo apt update && sudo apt full-upgrade
sudo apt install unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

Քայլ 6. Դանդաղեցրեք գաղտնաբառերի ընտրությունը fail2ban-ով

fail2ban-ը ժամանակավորապես արգելափակում է այն հասցեները, որոնք բազմիցս անհաջող մուտքի փորձեր են անում։

sudo apt install fail2ban
printf '[sshd]\nenabled = true\n' | sudo tee /etc/fail2ban/jail.local
sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

Քայլ 7. Ստուգեք, թե ինչ է լսում սերվերը և արդյոք թողարկումն աջակցվում է

Յուրաքանչյուր բաց պորտ ներթափանցման հնարավոր ճանապարհ է․ կանգնեցրեք անհարկի ծառայությունները։ Եթե թողարկման ստանդարտ աջակցությունն ավարտվել է (օրինակ՝ Ubuntu 20.04), միացրեք Ubuntu Pro՝ անվտանգության ուղղումներ ստանալու համար, կամ պլանավորեք թարմացում։

sudo ss -tlnp
lsb_release -a
sudo pro status

Հաջորդ քայլերը

• Կարգավորեք պահուստավորումը և ստուգեք վերականգնումը։
• Գրանցամատյաններն ուղարկեք կենտրոնական համակարգ և մոնիտորինգ արեք սերվերը։
• Փաստաթղթավորեք, թե ինչ է աշխատում սերվերում և ով է պատասխանատու դրա համար։

Սերվերի առաջին ժամը որոշում է, թե ինչպես կանցնեն հաջորդ տարիները։

Օգնության կարիք ունե՞ք։ Կապվեք CySec-ի հետ՝ անվճար խորհրդատվության համար։

Բոլոր հոդվածները