Τα πρώτα 10 βήματα ασφάλειας σε νέο VPS

Σε ένα νέο VPS, οι πρώτες δουλειές είναι να ενημερώσετε το σύστημα, να δημιουργήσετε έναν ξεχωριστό χρήστη που συνδέεται με κλειδί αντί για root, να απενεργοποιήσετε τη σύνδεση με κωδικό, να ενεργοποιήσετε το firewall και το fail2ban, να ενεργοποιήσετε τις αυτόματες ενημερώσεις ασφαλείας και να ελέγξετε ότι τα αντίγραφα ασφαλείας λειτουργούν. Παρακάτω βρίσκονται τα 10 βήματα με τη σειρά που πρέπει να τα κάνετε. Οι εντολές αφορούν Ubuntu και Debian.

Κάθε server στο διαδίκτυο είναι στόχος αυτοματοποιημένων σαρώσεων και bots που μαντεύουν κωδικούς, και μπορείτε να το δείτε στο δικό σας αρχείο καταγραφής του SSH. Η σειρά έχει σημασία: βεβαιωθείτε ότι τα βήματα 2 και 3 δουλεύουν πριν κάνετε το βήμα 4, αλλιώς μπορεί να κλειδωθείτε έξω. Το sudo στις εντολές δουλεύει και αν είστε συνδεδεμένοι ως root.

Σύστημα και λογαριασμοί

1. Ενημερώστε το σύστημα

sudo apt update && sudo apt upgrade -y

Στο Ubuntu, το αρχείο /var/run/reboot-required εμφανίζεται όταν μια ενημέρωση χρειάζεται επανεκκίνηση. Αν υπάρχει, επανεκκινήστε τον server μία φορά. Το Debian μπορεί να μη δημιουργεί αυτό το αρχείο, γι' αυτό επανεκκινήστε σε κάθε περίπτωση μετά από ενημέρωση του πυρήνα.

2. Δημιουργήστε τον δικό σας χρήστη

Μη χρησιμοποιείτε το root για την καθημερινή δουλειά. Δημιουργήστε έναν ξεχωριστό χρήστη με δικαιώματα sudo. Αντικαταστήστε το deploy με όποιο όνομα θέλετε:

sudo adduser deploy

sudo usermod -aG sudo deploy

3. Συνδεθείτε με κλειδί SSH

Αν ο υπολογιστής σας δεν έχει ακόμη ζεύγος κλειδιών, δημιουργήστε ένα με ssh-keygen -t ed25519. Μετά αντιγράψτε το δημόσιο κλειδί στον νέο χρήστη και δοκιμάστε τη σύνδεση:

ssh-copy-id [email protected]

ssh [email protected]

Αν μπήκατε χωρίς να σας ζητηθεί κωδικός, είστε έτοιμοι. Τα Windows δεν έχουν ssh-copy-id. Στο PowerShell, αυτή η εντολή κάνει την ίδια δουλειά:

Get-Content $env:USERPROFILE\.ssh\id_ed25519.pub | ssh [email protected] "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

Θωράκιση του SSH

4. Απενεργοποιήστε τη σύνδεση με κωδικό και ως root

Πρώτα βεβαιωθείτε ότι μπορείτε να συνδεθείτε ως ο νέος χρήστης με το κλειδί σας. Μετά βρείτε ποια αρχεία ορίζουν αυτές τις ρυθμίσεις. Όταν το OpenSSH βρίσκει την ίδια ρύθμιση σε πολλά σημεία, χρησιμοποιεί την πρώτη τιμή που διαβάζει. Σε Debian και Ubuntu, το κύριο αρχείο ρυθμίσεων περιλαμβάνει τον φάκελο /etc/ssh/sshd_config.d/ στην αρχή του. Οι εικόνες των παρόχων μπορεί να αφήνουν σε αυτόν τον φάκελο ένα αρχείο που ενεργοποιεί τη σύνδεση με κωδικό. Ακόμη κι αν γράψετε no στο κύριο αρχείο, το yes εκείνου του αρχείου παραμένει σε ισχύ:

sudo grep -rniE "^\s*(PasswordAuthentication|PermitRootLogin|KbdInteractiveAuthentication)" /etc/ssh/sshd_config /etc/ssh/sshd_config.d/

Ορίστε κάθε ενεργή γραμμή του αποτελέσματος σε no, στο αρχείο όπου εμφανίζεται: PasswordAuthentication no, PermitRootLogin no, KbdInteractiveAuthentication no. Προσθέστε στο τέλος του /etc/ssh/sshd_config όποια ρύθμιση δεν εμφανίζεται στο αποτέλεσμα. Μετά δοκιμάστε, εφαρμόστε και ελέγξτε τις τιμές που ισχύουν πραγματικά:

sudo sshd -t && sudo systemctl reload ssh

sudo sshd -T | grep -E "^(passwordauthentication|permitrootlogin|kbdinteractiveauthentication)"

Και οι τρεις γραμμές πρέπει να τελειώνουν σε no. Μην κλείσετε την ανοιχτή συνεδρία σας. Ανοίξτε νέο τερματικό και βεβαιωθείτε ότι η σύνδεση με κλειδί δουλεύει πριν φύγετε. Αν παρ' όλα αυτά κλειδωθείτε έξω, ανοίξτε την κονσόλα VNC από το πάνελ. Η σύνδεση από την κονσόλα δεν επηρεάζεται από τις ρυθμίσεις του SSH.

Αυτές οι ρυθμίσεις μπορεί να επανέλθουν αθόρυβα αργότερα. Ενέργειες στο πάνελ του παρόχου, όπως η προσθήκη κλειδιού SSH ή η επαναφορά του κωδικού, μπορούν να κάνουν το script πρώτης εκκίνησης του παρόχου (cloud-init) να τρέξει ξανά στην επόμενη εκκίνηση, και αυτό το script μπορεί να ενεργοποιήσει ξανά τη σύνδεση με κωδικό. Μετά από κάθε τέτοια ενέργεια, εκτελέστε ξανά την παραπάνω εντολή sshd -T και ελέγξτε τις τιμές.

Περιορίστε την πρόσβαση απ' έξω

5. Ενεργοποιήστε το firewall

Στο ufw, επιτρέψτε πρώτα το SSH και ενεργοποιήστε το firewall μετά. Αν το κάνετε ανάποδα, η σύνδεσή σας διακόπτεται. Αν το SSH τρέχει σε θύρα εκτός από την 22, χρησιμοποιήστε εκείνη τη θύρα αντί για την 22:

sudo ufw allow 22/tcp

sudo ufw enable

sudo ufw status verbose

Αν θα τρέξετε web server, επιτρέψτε και τις θύρες 80 και 443. Από προεπιλογή το ufw απορρίπτει τις εισερχόμενες συνδέσεις. Το πάνελ έχει επίσης εργαλείο firewall. Αν χρησιμοποιείτε Docker, προσοχή: σύμφωνα με την τεκμηρίωση του Docker, οι θύρες που δημοσιεύετε παρακάμπτουν τους κανόνες του ufw. Για υπηρεσίες που χρειάζεται να τις προσεγγίζει μόνο ο ίδιος ο server, δημοσιεύστε τη θύρα μόνο στη διεύθυνση loopback, για παράδειγμα 127.0.0.1:5432:5432 σε ένα αρχείο Docker Compose.

6. Εγκαταστήστε το fail2ban

Το fail2ban μπλοκάρει για ένα διάστημα τις διευθύνσεις IP που αποτυγχάνουν συνεχώς να συνδεθούν:

sudo apt install -y fail2ban python3-systemd

printf '[sshd]\nenabled = true\nbackend = systemd\nmaxretry = 5\nbantime = 1h\n' | sudo tee /etc/fail2ban/jail.local

sudo systemctl enable fail2ban && sudo systemctl restart fail2ban

sudo fail2ban-client status sshd

Στους servers εφαρμογών ενός κλικ του Seturack, το ufw είναι ενεργό και το fail2ban τρέχει. Αν εγκαταστήσατε καθαρό λειτουργικό σύστημα, ελέγξτε την κατάστασή τους με sudo ufw status και systemctl is-active fail2ban.

7. Ελέγξτε τις ανοιχτές θύρες

sudo ss -tulpn

Η εντολή εμφανίζει κάθε υπηρεσία και θύρα που ακούει. Οι υπηρεσίες που δεν χρειάζονται πρόσβαση απ' έξω, όπως βάσεις δεδομένων και caches, πρέπει να ακούν μόνο στο 127.0.0.1. Σταματήστε όσα δεν χρειάζεστε: sudo systemctl disable --now service-name

Να μένει έτσι

8. Αυτοματοποιήστε τις ενημερώσεις ασφαλείας

Σύμφωνα με την τεκμηρίωση του Ubuntu, το πακέτο unattended-upgrades συνήθως είναι προεγκατεστημένο και οι ενημερώσεις ασφαλείας είναι ενεργές. Αν λείπει, εγκαταστήστε και ενεργοποιήστε το:

sudo apt install -y unattended-upgrades

sudo dpkg-reconfigure -plow unattended-upgrades

Η αυτόματη επανεκκίνηση είναι απενεργοποιημένη από προεπιλογή, γι' αυτό επανεκκινήστε μόνοι σας τον server μετά από ενημερώσεις του πυρήνα. Σύμφωνα με τους όρους χρήσης, η διατήρηση του συστήματος ενημερωμένου μετά την εγκατάσταση είναι δική σας ευθύνη.

9. Πάρτε αντίγραφα ασφαλείας και δοκιμάστε μια επαναφορά

Στο Seturack, ο server σας παίρνει αντίγραφο ασφαλείας κάθε βράδυ και κρατούνται οι τελευταίες 7 ημέρες. Αυτό περιλαμβάνεται στην τιμή. Στην καρτέλα Διαχείριση, ανοίξτε το Αντίγραφα ασφαλείας για να τα δείτε, να ανακτήσετε ένα μεμονωμένο αρχείο ή να επαναφέρετε ολόκληρο τον server. Για να δοκιμάσετε μια επαναφορά, ανακτήστε ένα μεμονωμένο αρχείο: η επαναφορά ολόκληρου του server αντικαθιστά ολόκληρο τον τρέχοντα δίσκο. Η λήψη ενός snapshot πριν από μια μεγάλη αλλαγή είναι καλή συνήθεια, αλλά το snapshot δεν είναι αντίγραφο ασφαλείας. Κρατήστε αντίγραφο των σημαντικών δεδομένων σας και εκτός του server. Για λεπτομέρειες, δείτε το άρθρο για τα καθημερινά αντίγραφα ασφαλείας.

10. Ενισχύστε τους κωδικούς σας

Ο λογαριασμός σας στο πάνελ είναι το κλειδί του server. Χρησιμοποιήστε εκεί έναν μακρύ κωδικό που δεν χρησιμοποιείτε πουθενά αλλού και κρατήστε τον σε διαχειριστή κωδικών. Αλλάξτε τον πρώτο κωδικό root που αντιγράψατε από το πάνελ με sudo passwd root. Βάλτε passphrase στο ιδιωτικό σας κλειδί SSH. Μην επικολλάτε ποτέ κωδικούς ή κλειδιά σε μηνύματα υποστήριξης ή συνομιλίες.