Den første time: en mindre angrebsflade.

Bekræft og bevar adgang

Bekræft serverens identitet via en betroet kanal, og tilføj din SSH offentlige nøgle. Opret en navngivet administrativ bruger. Hold den oprindelige session åben, mens du tester den nye, og registrer gendannelsesmetoden, før du ændrer godkendelse.

Patch og reducer eksponering

Installer understøttede sikkerhedsopdateringer, og genstart om nødvendigt. Gennemgå lyttende tjenester, og tillad kun de nødvendige porte i firewallen, herunder IPv6. Fjern ubrugte daemons, og undgå at åbne en database offentligt blot for at gøre opsætningen lettere.

Adskil brugere og hemmeligheder

Kør applikationer under deres egne konti. Placer privat konfiguration uden for det offentlige webkatalog, og udeluk den fra versionskontrol. Brug snævre databaserettigheder og separate legitimationsoplysninger til produktion og eksperimenter.

Efterlad en fungerende gendannelsesvej

Opsæt logrotation, diskalarmer og en separat backup. Genstart én gang for at kontrollere, at applikationen starter korrekt. Registrer, hvad der blev ændret, så konfigurationen kan genopbygges på et rent image.

Kontroller, før sessionen lukkes

Åbn en anden forbindelse med den nye konto, bekræft administrativ forhøjelse, og test firewallen fra en anden klient. Bekræft, at tjenesten vender tilbage efter genstart. Hold udbyderens gendannelsesrute dokumenteret, så en fejlagtig netværksregel ikke kræver en improviseret gendannelse.

En verifikationsliste for første dag

Gennemgå åbne sockets, seneste godkendelseshændelser, opdateringsstatus, backup-alder og diskforbrug. Kontrollér, at privat konfiguration og versionskontrolmetadata ikke kan hentes over HTTP. Brug det mindste sæt installerede værktøjer, der understøtter den faktiske arbejdsbelastning.

ss -lntup
df -h
free -h
systemctl --failed

Foretag adgangsændringer i en reversibel rækkefølge

Bekræft først konsol- eller redningsruten, og verificér SSH-værtnøglen gennem en betroet udbyderkanal. Installér den offentlige nøgle for en navngivet administrator, og åbn derefter en anden forbindelse og test privilegieforhøjelse. Valider SSH-konfigurationssyntaks, før tjenesten genindlæses. Anvend kun firewallændringer, efter at den tilsigtede SSH-rute er tilladt. Deaktiver en gammel godkendelsesmetode, efter at erstatningen fungerer fra en frisk session, inklusive enhver påkrævet to-faktor-flow.

• Undersøg den effektive konfiguration og inkluderede snippets; en indstilling i én fil er måske ikke den endelige politik.
• Kontrollér både adgangskodegodkendelse og politikken for tastaturinteraktiv godkendelse, når du gennemgår et design til nøglebaseret login.
• En ikke-standard SSH-port kan reducere baggrundsstøj, men den erstatter ikke verificerede nøgler, adgangsbegrænsninger eller opdateringer.
• Brug tjenestenavnet og genindlæsningsproceduren for din distribution. Behold den oprindelige session, indtil den nye politik er bevist.

# Validate before applying a changed SSH configuration.
sudo /usr/sbin/sshd -t
# Read effective settings; adapt user, host and client address to the test.
sudo /usr/sbin/sshd -T -C user=admin,host=server.example,addr=198.51.100.10

Officiel dokumentation: OpenSSH: manual til serverkonfiguration

Bevis firewallen udefra værten

Gennemgå udbyderens netværksfirewall og gæstens firewall som separate kontroller. Test den tilsigtede tjeneste over IPv4 og IPv6 fra en anden autoriseret maskine. En lokal forbindelse beviser kun, at en proces lytter. Afvis ikke blindt alle ICMP-pakker: normal netværksdrift kræver også passende kontroltrafik. Kontrollér containerpublicerede porte mod de faktiske regler, fordi applikationseksponering muligvis ikke svarer til den politik, du troede, en firewall-frontend anvendte.

• Hvis SSH fejler, skal du kontrollere kildeadressebegrænsninger, den lyttende grænseflade og udbyderens firewall, før du ændrer nøgler gentagne gange.
• Hvis HTTPS fejler, skal du kontrollere DNS, proceslytteren og den lokale/proxy-firewall i den rækkefølge.
• Før det første produktionsdatasæt skal du kontrollere opdateringsstatus, en ren genstart, diskalarmer og en backup, der kan gendannes uafhængigt.
• Angiv en dokumenteret tidszone, og bekræft tidssynkroniseringen. Tilføj ikke vilkårlige swap- eller logningsindstillinger uden at kontrollere arbejdsbelastningens hukommelses- og opbevaringsbehov.

Officiel dokumentation: Ubuntu Server: firewall-administration