Zabezpečení Vašeho VPS: hardening, Lynis a pravidelná údržba
Pomocí článku Zabezpečení Vašeho VPS: prvních pět minut položíte základ: aktualizace, přihlašování klíčem, firewall a fail2ban. Server však nikdy není hotový. Software zastarává, certifikáty vyprší a disky se zaplní. Zde se dočtete, jak server poté krok za krokem dále zabezpečit (hardening), jak jej zkontrolovat pomocí Lynis a jaký rytmus údržby Vám pomůže.
Čtyři principy
- Malá útočná plocha. Co neexistuje, nemůže uniknout. Odstraňte služby a balíčky, které nepoužíváte, a zvenku nechte otevřené jen porty, které jsou opravdu potřeba. Viz Které služby na Vašem VPS naslouchají a co je dostupné zvenku?
- Minimální oprávnění. Žádná každodenní práce jako root, služby pod vlastním uživatelem, nikdy
chmod 777. Viz Jak číst a správně nastavit oprávnění souborů na Vašem VPS. - Vrstvená obrana. Počítejte s tím, že jedno opatření selže. Databáze, která naslouchá pouze na
127.0.0.1, je za firewallem a má silné heslo, zůstane v bezpečí, i když jedno z těchto tří opatření selže. - Vidět, co se děje. Logy, monitoring a zálohy. Bez těchto tří věcí si problému všimnete, až když je pozdě.
CIS Benchmarks ve zkratce
Center for Internet Security (CIS) vytváří CIS Benchmarks: seznamy doporučených nastavení pro jednotlivé produkty, mimo jiné i pro Debian a Ubuntu. Dělí se na Level 1 (základní opatření bez větších nevýhod, cíl pro většinu serverů) a Level 2 (přísnější, může stát funkce nebo výkon). Používejte je jako referenci: doporučení nejprve pochopte, než jej použijete, měňte vždy jen jednu věc a poznamenejte si, proč něco vědomě neděláte. Dejte si pozor na hotové skripty, které použijí „vše z CIS“ najednou: snadno se tím zablokujete.
Kontrola pomocí Lynis
Lynis je bezplatný open-source program, který Váš server zkontroluje zevnitř. Sám nic nemění, pouze podává zprávu.
sudo apt install lynis sudo lynis audit system
Na AlmaLinux a Rocky Linux jej nainstalujete z EPEL příkazem sudo dnf install lynis. Výsledek čtěte takto:
- Warnings byste si měli opravdu prohlédnout, například balíčky se známými zranitelnostmi (pak čekají aktualizace).
- Suggestions jsou doporučení. Mnohá jsou užitečná, některá se k Vašemu serveru nehodí. Doporučení vypnout
AllowTcpForwardingnapříklad naruší Vaše SSH tunely. Neřiďte se jimi slepě. - Každé hlášení má kód v hranatých závorkách, například
[SSH-7408]. Pomocí něj v/var/log/lynis.logzjistíte, co přesně bylo testováno. - Hardening index (číslo do 100) je orientační ukazatel, nikoli známka, za kterou byste se měli honit.
Než na základě Lynis cokoli změníte, vytvořte si snapshot, viz Snapshoty a zálohy Vašeho VPS, a vězte, jak otevřít konzoli, pokud byste se přesto zablokovali.
Rytmus údržby
Příklad pro malý server. Přizpůsobte jej své situaci a zapište si termíny do kalendáře.
| Kdy | Co |
|---|---|
| Každý týden | Projít upozornění z monitoringu; systemctl --failed; restartovat, pokud existuje /var/run/reboot-required |
| Každý měsíc | apt list --upgradable (nezůstává něco viset?); aktualizovat kontejnery; místo na disku; chyby v logu pomocí journalctl -p err --since "1 month ago" |
| Každé čtvrtletí | Zkušebně obnovit zálohu; projít uživatele a authorized_keys; znovu spustit Lynis |
| Každý rok | Zkontrolovat datum konce podpory Vaší verze a naplánovat upgrade; aktualizovat security.txt, pokud jej máte; aktualizovat dokumentaci serveru |
Nápověda k jednotlivým částem: Aktualizace a automatické aktualizace, Monitoring zvenku i zevnitř, Zálohy pomocí restic na jiné místo, Odebrání SSH přístupu k Vašemu VPS bývalému zaměstnanci nebo při ztrátě notebooku a Upgrade Vašeho VPS na novou verzi Debianu nebo Ubuntu.
Dokumentace serveru
Pro každý server sepište krátký dokument a uložte jej mimo server, například ve správci hesel:
- název, IP adresy, operační systém a datum konce podpory dané verze;
- co na serveru běží (služby, kontejnery, webové stránky) a které porty jsou pro to otevřené;
- kde jsou zálohy, jak je obnovit a kdy jste to naposledy testovali;
- jaká tajemství jsou na serveru uložena (ne samotná tajemství, ale která to jsou a kde je vyměníte);
- kdo má přístup a co jste vědomě udělali jinak, než je standard.
Tato dokumentace pomůže při výpadku, při upgradu a v případě, že správu převezme někdo jiný.
timedatectl také zkontrolujte, že jsou hodiny synchronizované: při nesprávném čase jsou logy nepoužitelné a certifikáty mohou být považovány za neplatné.Váš VPS je plně ve Vaší vlastní správě: hardening a údržbu uvnitř serveru provádíte sami. My Vám pomůžeme s částí na straně WebOké, jako je obrazovka VPS, síť, snapshoty a denní zálohy.
Chcete se dozvědět více? Absolvujte bezplatný kurz Správa VPS a linuxových serverů, lekci 10.1 Hardening a principy CIS nebo lekci 10.4 Závěrečná kontrola: Váš server pod drobnohledem.