Нов сървър на публичен IP адрес се сондира за минути. Първият ден е денят, в който поставяте основата, която го държи скучен след това. Минете през списъка по ред и дръжте втора SSH сесия отворена, докато променяте настройките за вход, за да не ви заключи грешка.
Списъкът
- Обновете всичко. Опреснете индекса на пакетите, инсталирайте всички актуализации за сигурност и рестартирайте, ако ядрото се е променило.
- Създайте потребител без root със sudo и настройте SSH ключ за него.
- Заздравете SSH. Изключете входа с парола и директния root вход в
sshd_config, тествайте сsshd -t, презаредете и потвърдете, че нова сесия работи, преди да затворите старата. - Включете защитна стена със забрана по подразбиране и позволете само портовете, които обслужвате, например 22, 80 и 443.
- Спрете ненужните услуги. Изброийте слушащите портове с
ss -tlnpи премахнете всичко, което не сте инсталирали нарочно. - Включете автоматични актуализации за сигурност на операционната система.
- Добавете защита срещу груба сила, като ограничаване на честотата или инструмент за блокиране при повторни SSH неуспехи.
- Проверете синхронизацията на времето, за да съвпадат логовете и сертификатите.
- Защитете отдалеченото управление. Ограничете достъпа до интерфейса за управление и сменете стандартните данни за вход.
- Архивирайте и тествайте. Настройте бекъп извън сървъра и възстановете един файл като доказателство.
- Запишете какво сте направили в кратък документ: IP, потребители, портове, цел на бекъпа, кой отговаря за актуализациите.
Какво се следи от първия ден
| Сигнал | Защо |
|---|---|
| Заетост на диска | Пълен диск спира базите данни и пощата |
| Памет и натоварване | Ранен знак за недостатъчно голяма машина |
| Здраве на RAID или диска | Деградирал масив е риск до възстановяването му |
| Неуспешни входове | Показва сканиране и слаби места |
| Изтичане на сертификат | Изтекъл сертификат показва предупреждение на посетителите |
Решението кой се грижи за това дългосрочно е в управляван или неуправляван специализиран сървър. За страната на защитата на данните прочетете GDPR сигурност на данните. Опциите започват на страницата специализиран сървър.
Често задавани въпроси
Да сменя ли SSH порта?
Намалява шума в логовете, но не е мярка за сигурност. Работата вършат ключовете и защитната стена.
Стига ли защитна стена?
Не. Тя ограничава достъпа. Актуализации, ключове и бекъпи пак са нужни.
Ами ако се заключа?
Дръжте втора сесия отворена при тестване и знайте как да стигнете до конзолата за отдалечено управление.
Колко често да актуализирам след това?
Прилагайте актуализациите за сигурност автоматично и преглеждайте останалото по фиксиран календар, например седмично.
