# Juhtumid ülesande Z10.2 juurde (kursus VPS ja Linuxi serveri haldus)

Vali iga juhtumi puhul, milline viga see on ja mis on parim esimene samm. Kõik nimed ja aadressid on näited.

**Vead (õppetunnist 10.2):**
A. Root-sisselogimine parooliga
B. Andmebaas, vahemälu või otsinguklaster avatud internetti
C. Dockeri API avatud või `docker.sock` konteineris
D. `chmod 777`, et veateatest lahti saada
E. `curl ... | bash` ja tarkvara ükskõik kust
F. Uuendusi pole või uuendused "hiljem"
G. Varukoopiat pole või varukoopia, mida pole kunagi testitud
H. Halduspaneel kõigile avatud, ilma kaheastmelise kinnitamiseta
I. Saladused Gitis või sinu compose-failis
J. Tulemüür "korraks" välja, kõik root'ina, märkmeid pole

---

**Juhtum 1.** Serveris `web1.example.com` on failis `compose.yaml` teenuse `redis` juures: `ports: - "6379:6379"`. `ufw status` näitab ainult porte 22, 80 ja 443. Väljastpoolt tehtud skannimine leiab, et 6379 on avatud.
Esimene samm: (a) käivita ufw uuesti (b) eemalda pordireegel või muuda see kujule `"127.0.0.1:6379:6379"` ja tee uuesti `docker compose up -d` (c) anna Redisele teine pordinumber (d) taaskäivita server

**Juhtum 2.** Serveris `app.example.net` töötava veebirakenduse arendaja teatab, et üleslaadimised ei töötanud. Ta on selle "ära parandanud" ja nüüd on kõigil failidel kaustas `/var/www/app` õigused `-rwxrwxrwx`.
Esimene samm: (a) jäta nii, nüüd see töötab (b) anna veebiserveri kasutajale kirjutusõigus ainult üleslaadimiste kaustale, ülejäänu tagasi 644/755 peale ja teise omanikuga (c) käivita veebiserver root'ina (d) lülita AppArmor välja

**Juhtum 3.** Avalikus repositooriumis on alates eilsest fail `.env`, milles on serveri `web2.example.org` `MAIL_API_KEY=...`.
Esimene samm: (a) eemalda fail repositooriumist (b) tühista võti maili teenusepakkuja juures, loo uus ja lisa `.env` faili `.gitignore` (c) nimeta repositoorium ümber (d) ära tee midagi

**Juhtum 4.** `sudo sshd -T | grep -E "permitrootlogin|passwordauthentication"` annab tulemuseks `permitrootlogin yes` ja `passwordauthentication yes`. Journalis on iga minut sisselogimiskatseid root'ina.
Esimene samm: (a) paigalda fail2ban ja rohkem mitte midagi (b) lisa võti tavalisele sudo-õigustega haldurile, testi ja lülita siis välja paroolisisselogimine ja root-sisselogimine parooliga (c) pane SSH porti 2222 (d) hoia root'i parooli tekstifailis

**Juhtum 5.** `cat /etc/os-release` näitab Ubuntu väljalaset, mille standardtugi lõppes kolm aastat tagasi, ilma ESM-ita. `apt list --upgradable` on tühi.
Esimene samm: (a) rõõmusta, uuendusi pole (b) planeeri uuendus või uus server toetatud LTS-versioonile, koos hetktõmmise ja varukoopiaga (c) paigalda unattended-upgrades uuesti (d) taaskäivita server

**Juhtum 6.** Konteineril `portainer` on köide `/var/run/docker.sock:/var/run/docker.sock` ja see on kättesaadav aadressil `https://beheer.example.com` parooliga `admin123`, ilma kaheastmelise kinnitamiseta.
Vali viga, mis võimaldab suurimat kahju, kui parool ära arvatakse. Esimene samm: (a) pane paneel SSH-tunneli või fikseeritud aadressi taha ning sea tugev parool koos kaheastmelise kinnitamisega (b) taaskäivita konteiner (c) vali teine alamdomeen (d) paigalda Docker uuesti

**Juhtum 7.** Pärast andmebaasi ebaõnnestunud uuendust selgub, et ainus varukoopia on kaks kuud vana hetktõmmis serveriga samas salvestusruumis. Keegi pole kunagi taastamist proovinud.
Esimene samm tuleviku jaoks: (a) tee rohkem hetktõmmiseid (b) seadista krüpteeritud varukoopiad väljaspool serverit (näiteks restic), koos jälgimise ja taastamistestiga (c) ära uuenda andmebaasi enam kunagi (d) teine ketas samasse serverisse

**Juhtum 8.** Serveris on `/usr/local/bin/tool` ja tundmatu paketiallikas `extra.list` valikuga `[trusted=yes]`. Keegi ei tea, kust need pärit on; eelmine haldur paigaldas "kõik ühe reaga mingilt veebilehelt".
Esimene samm: (a) jäta alles, see töötab (b) uuri välja, mis allikas ja programm need on, lülita allikas käsuga `trusted=yes` välja ja paigalda edaspidi ainult distributsioonist või tootja ametlikust allikast käsuga `Signed-By` (c) taaskäivita server (d) eemalda kõik paketid

Täida iga juhtumi kohta: viga (A-J) ja esimene samm (a-d).