Статья Безопасность на серверах.

[Vasserman]

Безопасность – очень важно. Особенно, если у вас есть свои сервера. Сегодня у нас пост в формате «шпаргалки» для счастливых обладателей собственных серверов, ведь не важно что у вас там — личное облако или простой VPN-сервер — о безопасности сервера стоит позаботиться. Рассказываем о лучших утилитах для построения «неприступной крепости».

Безопасность на серверах.​

Fail2ban - утилита, автоматически блокирующая подозрительные IP-адреса, с которых предпринимаются попытки взлома сервера путем подбора паролей. Официальная страница справки Ubuntu содержит дополнительную информацию по использованию и настройке.

Endlessh - инструмент, позволяющий создать "медовую ловушку" для злоумышленников, пытающихся взломать сервер. Endlessh создает фальшивый SSH-сервер на заданном порту, который ловит злоумышленника в ловушку бесконечного подключения к серверу.

UFW (Uncomplicated Firewall) - простой файрвол для операционной системы Linux, позволяющий легко управлять открытием и закрытием портов. Важно правильно настроить UFW, чтобы открыть доступ только к необходимым портам, таким как SSH и другие важные службы.

Rootkit Hunter - инструмент для обнаружения руткитов и потенциальных уязвимостей в системе, который помогает обнаруживать скрытые угрозы безопасности.

Tripwire - комплексная система обнаружения вторжений, предупреждающая администратора о любых изменениях в файловой структуре системы. Официальный руководство по использованию Tripwire на Ubuntu VPS поможет вам настроить этот инструмент для мониторинга вашего сервера.

У вас есть доступ к машине по SSH и на ней установлено и настроено упомянутое ПО. Повысим безопасность подключения к серверу.
Ssh root@ip_сервера и поехали:​

1. Обновляем ПО:

apt update && apt upgrade

2. Создаём нового пользователя (в примере kek) с правами sudo, ставим ему пароль:

adduser kek

usermod -aG sudo kek

3. Ставим ключ вместо пароля на вход, меняем порт SSH (в примере 7473), отключаем вход рута:

ssh-keygen -t rsa

ssh-copy-id kek@ip

ssh kek@ip

sudo nano /etc/ssh/sshd_config

4. В конец файла добавляем:

Port 7473

PasswordAuthentication no

PermitRootLogin no

sudo ufw allow 7473

sudo ufw disable && sudo ufw enable

sudo systemctl restart ssh

5. Ставим автообновления патчей безопасности:

sudo apt install unattended-upgrades

sudo dpkg-reconfigure -plow unattended-upgrades

6. Отключаем ненужные службы:

sudo systemctl list-unit-files --state=enabled

sudo systemctl disable {имясервиса}