Hoia oma VPS turvalisena: karastamine, Lynis ja hooldusrütm

Artikliga VPS-i turvamine: esimesed viis minutit paned paika aluse: uuendused, võtmega sisselogimine, tulemüür ja fail2ban. Server ei ole aga kunagi valmis. Tarkvara vananeb, sertifikaadid aeguvad ja kettad saavad täis. Siit loed, kuidas oma serverit pärast seda samm-sammult edasi karastada (hardening), kuidas seda Lynisega kontrollida ja milline hoolduse rütm aitab.

Neli põhimõtet

• Väike rünnakupind. Mida pole, see ei saa lekkida. Eemalda teenused ja paketid, mida sa ei kasuta, ja hoia väljastpoolt avatuna ainult need pordid, mis on tõesti vajalikud. Vaata Millised teenused sinu VPS-is kuulavad ja mis on väljastpoolt ligipääsetav?
• Minimaalsed õigused. Ära tee igapäevatööd root-kasutajana, käita teenuseid eraldi kasutaja all ja ära kasuta kunagi chmod 777. Vaata Failiõiguste lugemine ja õige seadistamine sinu VPS-is.
• Kihiline kaitse. Eelda, et üks meede ebaõnnestub. Andmebaas, mis kuulab ainult aadressil 127.0.0.1, asub tulemüüri taga ja millel on tugev parool, jääb turvaliseks ka siis, kui üks neist kolmest üles ütleb.
• Näe, mis toimub. Logid, jälgimine ja varukoopiad. Ilma nende kolmeta märkad probleemi alles siis, kui on juba hilja.

CIS Benchmarks lühidalt

Center for Internet Security (CIS) koostab soovituste kogumikke CIS Benchmarks: soovitatud seadete loendeid toodete kaupa, ka Debiani ja Ubuntu jaoks. Need on jagatud tasemeteks Level 1 (põhimeetmed ilma suuremate puudusteta, enamiku serverite eesmärk) ja Level 2 (rangem, võib tulla funktsioonide või kiiruse arvelt). Kasuta neid teatmikuna: mõista soovitust enne selle rakendamist, muuda korraga ühte asja ja pane kirja, miks sa midagi teadlikult ei tee. Ole ettevaatlik valmisskriptidega, mis rakendavad „kõik CIS-ist“ korraga: nendega lukustad end kergesti välja.

Kontrollimine Lynisega

Lynis on tasuta avatud lähtekoodiga programm, mis kontrollib sinu serverit seestpoolt. See ise midagi ei muuda, vaid ainult raporteerib.

sudo apt install lynis
sudo lynis audit system

AlmaLinuxis ja Rocky Linuxis paigaldad selle EPEL-ist käsuga sudo dnf install lynis. Tulemust loe nii:

• Warnings (hoiatused) tuleb kindlasti üle vaadata, näiteks teadaolevate turvaaukudega paketid (siis on uuendused ootel).
• Suggestions (soovitused) on nõuanded. Paljud on kasulikud, mõni ei sobi sinu serverile. Näiteks soovitus AllowTcpForwarding välja lülitada lõhub sinu SSH-tunnelid. Ära järgi neid pimesi.
• Igal teatel on nurksulgudes kood, näiteks [SSH-7408]. Selle abil otsid failist /var/log/lynis.log, mida täpselt testiti.
• hardening index (arv kuni 100) on suunanäitaja, mitte hinne, mida taga ajada.

Tee enne Lynise põhjal millegi muutmist hetktõmmis, vaata VPS-i hetktõmmised ja varukoopiad, ja tea, kuidas avada konsool, kui end siiski välja lukustad.

Hoolduse rütm

Näide väikese serveri jaoks. Kohanda seda oma olukorrale ja pane ajad kalendrisse.

Abi eri osade jaoks: Uuendused ja automaatsed uuendused, Jälgimine väljast ja seest, Varukoopiad resticuga teise asukohta, SSH-ligipääsu tühistamine sinu VPS-ile endise töötaja või kadunud sülearvuti korral ja VPS-i uuendamine Debiani või Ubuntu uuele versioonile.

Serveritoimik

Kirjuta iga serveri kohta lühike dokument ja hoia seda serverist väljaspool, näiteks oma paroolihalduris:

• nimi, IP-aadressid, operatsioonisüsteem ja selle versiooni toe lõppkuupäev;
• mis töötab (teenused, konteinerid, veebisaidid) ja millised pordid on selleks avatud;
• kus varukoopiad asuvad, kuidas taastada ja millal sa seda viimati testisid;
• millised saladused serveris on (mitte saladused ise, vaid millised need on ja kus neid vahetad);
• kellel on ligipääs ja mida tegid teadlikult vaikeseadetest erinevalt.

See toimik aitab rikke korral, uuendamisel ja siis, kui keegi teine haldamise üle võtab.

Sinu VPS on täielikult isehallatav: serverisisese karastamise ja hoolduse teed ise. Meie aitame WebOké poolega, näiteks VPS-i vaate, võrgu, hetktõmmiste ja igapäevaste varukoopiatega.

Tahad rohkem teada? Läbi tasuta kursus VPS ja Linuxi serveri haldus, õppetund 10.1 Karastamine ja CIS-i põhimõtted või õppetund 10.4 Lõppkontroll: kas su server vastab nõuetele.