Ensimmäinen tunti: pienempi hyökkäyspinta.

Vahvista ja säilytä pääsy

Vahvista palvelimen henkilöllisyys luotetun kanavan kautta ja lisää SSH-julkinen avaimesi. Luo nimetty ylläpitokäyttäjä. Pidä alkuperäinen istunto avoinna, kun testaat uutta, ja kirjaa palautusmenetelmä ennen todennuksen muuttamista.

Paikkaa ja vähennä altistusta

Asenna tuetut tietoturvapäivitykset ja käynnistä uudelleen tarvittaessa. Tarkista kuuntelevat palvelut ja salli palomuurissa vain tarpeelliset portit, mukaan lukien IPv6. Poista käyttämättömät taustapalvelut äläkä avaa tietokantaa julkisesti vain asennuksen helpottamiseksi.

Erota käyttäjät ja salaisuudet

Aja sovelluksia omilla tileillään. Sijoita yksityinen kokoonpano julkisen verkkohakemiston ulkopuolelle ja jätä se versionhallinnan ulkopuolelle. Käytä kapeita tietokantaoikeuksia ja erillisiä tunnistetietoja tuotantoon ja kokeiluihin.

Jätä toimiva palautumispolku

Aseta lokien kierrätys, levyhälytykset ja erillinen varmuuskopio. Käynnistä kerran uudelleen varmistaaksesi, että sovellus käynnistyy oikein. Kirjaa, mitä muutettiin, jotta kokoonpano voidaan rakentaa uudelleen puhtaalle levykuvalle.

Tarkista ennen istunnon sulkemista

Avaa toinen yhteys uudella tilillä, varmista hallinnollinen korotus ja testaa palomuuri toisesta asiakkaasta. Varmista, että palvelu palaa uudelleenkäynnistyksen jälkeen. Pidä palveluntarjoajan palautusreitti dokumentoituna, jotta virheellinen verkkosääntö ei vaadi improvisoitua palautusta.

Ensimmäisen päivän varmistuslista

Tarkista avoimet pistokkeet, viimeisimmät todennustapahtumat, päivitystila, varmuuskopion ikä ja levynkäyttö. Varmista, että yksityistä kokoonpanoa ja versionhallinnan metatietoja ei voi noutaa HTTP kautta. Käytä pienintä asennettua työkalusarjaa, joka tukee todellista työkuormaa.

ss -lntup
df -h
free -h
systemctl --failed

Tee käyttöoikeusmuutokset palautuvassa järjestyksessä

Vahvista ensin konsoli- tai pelastusreitti ja varmista SSH-isäntäavain luotetun palveluntarjoajakanavan kautta. Asenna julkinen avain nimetylle ylläpitäjälle ja avaa sitten toinen yhteys ja testaa oikeuksien korotus. Vahvista SSH-kokoonpanon syntaksi ennen palvelun uudelleenlatausta. Tee palomuurimuutokset vasta, kun aiottu SSH-reitti on sallittu. Poista vanha todennusmenetelmä käytöstä, kun korvaava toimii uudesta istunnosta, mukaan lukien mahdollinen kaksivaiheinen todennus.

• Tarkista voimassa oleva kokoonpano ja sisällytetyt katkelmat; yhdessä tiedostossa oleva asetus ei välttämättä ole lopullinen käytäntö.
• Tarkista sekä salasanatodennus että näppäimistöinteraktiivinen käytäntö, kun arvioit avainpohjaista kirjautumisratkaisua.
• Muun kuin oletusarvoisen SSH-portin käyttö voi vähentää taustakohinaa, mutta se ei korvaa vahvistettuja avaimia, pääsyrajoituksia tai päivityksiä.
• Käytä jakelusi palvelunimeä ja uudelleenlatausmenettelyä. Pidä alkuperäinen istunto, kunnes uusi käytäntö on todistettu toimivaksi.

# Validate before applying a changed SSH configuration.
sudo /usr/sbin/sshd -t
# Read effective settings; adapt user, host and client address to the test.
sudo /usr/sbin/sshd -T -C user=admin,host=server.example,addr=198.51.100.10

Virallinen dokumentaatio: OpenSSH: palvelimen kokoonpanokäsikirja

Todista palomuuri isännän ulkopuolelta

Tarkastele palveluntarjoajan verkkopalomuurin ja vieraan palomuurin erillisinä kontrolleina. Testaa aiottu palvelu IPv4- ja IPv6-protokollien yli toisesta valtuutetusta koneesta. Paikallinen yhteys todistaa vain, että prosessi kuuntelee. Älä hylkää sokeasti kaikkia ICMP-paketteja: normaali verkkotoiminta tarvitsee myös asianmukaista ohjausliikennettä. Tarkista kontin julkaisemat portit todellisia sääntöjä vasten, sillä sovelluksen näkyvyys ei välttämättä vastaa käytäntöä, jonka luulit palomuurin etuosan soveltaneen.

• Jos SSH epäonnistuu, tarkista lähdeosoiterajoitukset, kuunteleva verkkoliitäntä ja palveluntarjoajan palomuuri ennen kuin vaihdat avaimia toistuvasti.
• Jos HTTPS epäonnistuu, tarkista DNS, prosessin kuuntelija ja paikallinen/välityspalvelimen palomuuri tässä järjestyksessä.
• Ennen ensimmäistä tuotantodataa varmista päivitystila, puhdas uudelleenkäynnistys, levyhälytykset ja itsenäisesti palautettava varmuuskopio.
• Aseta dokumentoitu aikavyöhyke ja varmista ajan synkronointi. Älä lisää mielivaltaisia swap- tai lokiasetuksia tarkistamatta työkuorman muisti- ja säilytystarpeita.

Virallinen dokumentaatio: Ubuntu-palvelin: palomuurin hallinta