पहला घंटा: एक छोटा आक्रमण सतह।

पहुँच सत्यापित करें और सुरक्षित रखें

विश्वसनीय चैनल के माध्यम से सर्वर की पहचान की पुष्टि करें और अपनी SSH सार्वजनिक कुंजी जोड़ें। एक नामित प्रशासनिक उपयोगकर्ता बनाएँ। नए सत्र का परीक्षण करते समय मूल सत्र खुला रखें और प्रमाणीकरण बदलने से पहले रिकवरी विधि दर्ज करें।

पैच करें और जोखिम कम करें

समर्थित सुरक्षा अपडेट इंस्टॉल करें और आवश्यक होने पर रीबूट करें। सुनने वाली सेवाओं की समीक्षा करें और फ़ायरवॉल में केवल आवश्यक पोर्ट की अनुमति दें, जिसमें IPv6 शामिल है। अप्रयुक्त डेमन हटाएँ और केवल सेटअप आसान बनाने के लिए डेटाबेस को सार्वजनिक रूप से न खोलें।

उपयोगकर्ताओं और रहस्यों को अलग रखें

एप्लिकेशन अपने स्वयं के खातों के अंतर्गत चलाएँ। निजी कॉन्फ़िगरेशन को सार्वजनिक वेब निर्देशिका के बाहर रखें और इसे वर्ज़न नियंत्रण से बाहर रखें। संकीर्ण डेटाबेस विशेषाधिकार और उत्पादन तथा प्रयोगों के लिए अलग क्रेडेंशियल का उपयोग करें।

एक कार्यशील रिकवरी मार्ग छोड़ें

लॉग रोटेशन, डिस्क अलर्ट और एक अलग बैकअप सेट करें। एप्लिकेशन सही ढंग से शुरू होता है यह सत्यापित करने के लिए एक बार रीबूट करें। दर्ज करें कि क्या बदला ताकि कॉन्फ़िगरेशन को साफ़ इमेज पर पुनर्निर्मित किया जा सके।

सत्र बंद करने से पहले जाँचें

नए खाते का उपयोग करके दूसरा कनेक्शन खोलें, प्रशासनिक एलिवेशन सत्यापित करें और किसी अन्य क्लाइंट से फ़ायरवॉल का परीक्षण करें। पुष्टि करें कि रीबूट के बाद सेवा लौटती है। प्रदाता पुनर्प्राप्ति मार्ग को प्रलेखित रखें ताकि गलत नेटवर्क नियम के कारण तात्कालिक पुनर्प्राप्ति की आवश्यकता न पड़े।

पहले दिन की सत्यापन सूची

खुली सॉकेट, हाल की प्रमाणीकरण घटनाएँ, अपडेट स्थिति, बैकअप की आयु और डिस्क उपयोग की समीक्षा करें। जाँचें कि निजी कॉन्फ़िगरेशन और वर्ज़न-कंट्रोल मेटाडेटा HTTP पर प्राप्त नहीं किए जा सकते। वास्तविक कार्यभार का समर्थन करने वाले सबसे छोटे स्थापित टूल सेट का उपयोग करें।

ss -lntup
df -h
free -h
systemctl --failed

पहुँच परिवर्तन उत्क्रमणीय क्रम में करें

पहले कंसोल या रेस्क्यू मार्ग की पुष्टि करें और विश्वसनीय प्रदाता चैनल के माध्यम से SSH होस्ट कुंजी सत्यापित करें। एक नामित व्यवस्थापक के लिए सार्वजनिक कुंजी स्थापित करें, फिर दूसरा कनेक्शन खोलें और विशेषाधिकार उन्नयन का परीक्षण करें। सेवा को पुनः लोड करने से पहले SSH कॉन्फ़िगरेशन सिंटैक्स को मान्य करें। फ़ायरवॉल परिवर्तन केवल तब लागू करें जब इच्छित SSH मार्ग की अनुमति हो। प्रतिस्थापन के नए सत्र से काम करने के बाद पुरानी प्रमाणीकरण विधि अक्षम करें, जिसमें कोई भी आवश्यक दूसरा-कारक प्रवाह शामिल हो।

• प्रभावी कॉन्फ़िगरेशन और शामिल स्निपेट्स का निरीक्षण करें; एक फ़ाइल में कोई सेटिंग अंतिम नीति नहीं हो सकती।
• कुंजी-आधारित लॉगिन डिज़ाइन की समीक्षा करते समय पासवर्ड प्रमाणीकरण और कीबोर्ड-इंटरैक्टिव नीति दोनों की जाँच करें।
• गैर-डिफ़ॉल्ट SSH पोर्ट पृष्ठभूमि शोर कम कर सकता है, लेकिन यह सत्यापित कुंजियों, पहुँच सीमाओं या अपडेट का विकल्प नहीं है।
• अपने वितरण के लिए सेवा नाम और पुनःलोड प्रक्रिया का उपयोग करें। नई नीति सिद्ध होने तक मूल सत्र रखें।

# Validate before applying a changed SSH configuration.
sudo /usr/sbin/sshd -t
# Read effective settings; adapt user, host and client address to the test.
sudo /usr/sbin/sshd -T -C user=admin,host=server.example,addr=198.51.100.10

आधिकारिक दस्तावेज़: OpenSSH: सर्वर कॉन्फ़िगरेशन मैनुअल

होस्ट के बाहर से फ़ायरवॉल सिद्ध करें

प्रदाता नेटवर्क फ़ायरवॉल और गेस्ट फ़ायरवॉल को अलग-अलग नियंत्रण के रूप में समीक्षा करें। किसी अन्य अधिकृत मशीन से IPv4 और IPv6 पर इच्छित सेवा का परीक्षण करें। स्थानीय कनेक्शन केवल यह सिद्ध करता है कि कोई प्रक्रिया सुन रही है। हर ICMP पैकेट को अंधाधुंध अस्वीकार न करें: सामान्य नेटवर्क संचालन के लिए भी उपयुक्त नियंत्रण ट्रैफ़िक आवश्यक है। कंटेनर द्वारा प्रकाशित पोर्ट को वास्तविक नियमों के विरुद्ध जाँचें क्योंकि एप्लिकेशन एक्सपोज़र उस नीति से मेल नहीं खा सकता जो आपने सोचा था कि फ़ायरवॉल फ़्रंट एंड ने लागू की है।

• यदि SSH विफल हो, तो बार-बार कुंजियाँ बदलने से पहले स्रोत-पता प्रतिबंध, लिसनिंग इंटरफ़ेस और प्रदाता फ़ायरवॉल की जाँच करें।
• यदि HTTPS विफल हो, तो इस क्रम में DNS, प्रोसेस लिसनर और स्थानीय/प्रॉक्सी फ़ायरवॉल जाँचें।
• पहले उत्पादन डेटासेट से पहले, अपडेट स्थिति, एक स्वच्छ रीबूट, डिस्क अलर्ट और एक स्वतंत्र रूप से पुनर्स्थापित करने योग्य बैकअप सत्यापित करें।
• एक प्रलेखित समयक्षेत्र सेट करें और समय समन्वयन सत्यापित करें। वर्कलोड की मेमोरी और प्रतिधारण आवश्यकताओं की जांच किए बिना मनमानी स्वैप या लॉगिंग सेटिंग्स न जोड़ें।

आधिकारिक दस्तावेज़: Ubuntu सर्वर: फ़ायरवॉल प्रशासन