Jam pertama: permukaan serangan yang lebih kecil.

Verifikasi dan pertahankan akses

Konfirmasi identitas server melalui saluran tepercaya dan tambahkan kunci publik SSH Anda. Buat pengguna administratif bernama. Biarkan sesi asli tetap terbuka saat menguji sesi baru dan catat metode pemulihan sebelum mengubah autentikasi.

Tambal dan kurangi paparan

Pasang pembaruan keamanan yang didukung dan reboot jika perlu. Tinjau layanan yang mendengarkan dan izinkan hanya port yang diperlukan di firewall, termasuk IPv6. Hapus daemon yang tidak digunakan dan hindari membuka database secara publik hanya agar penyiapan lebih mudah.

Pisahkan pengguna dan rahasia

Jalankan aplikasi di bawah akunnya sendiri. Tempatkan konfigurasi privat di luar direktori web publik dan kecualikan dari kontrol versi. Gunakan hak istimewa basis data yang sempit dan kredensial terpisah untuk produksi dan eksperimen.

Sisakan jalur pemulihan yang berfungsi

Atur rotasi log, peringatan disk, dan cadangan terpisah. Reboot sekali untuk memverifikasi aplikasi mulai dengan benar. Catat apa yang berubah agar konfigurasi dapat dibangun ulang pada image bersih.

Periksa sebelum menutup sesi

Buka koneksi kedua menggunakan akun baru, verifikasi eskalasi administratif, dan uji firewall dari klien lain. Pastikan layanan kembali setelah reboot. Dokumentasikan rute pemulihan penyedia agar aturan jaringan yang keliru tidak memerlukan pemulihan improvisasi.

Daftar verifikasi hari pertama

Tinjau soket terbuka, peristiwa autentikasi terbaru, status pembaruan, usia cadangan, dan penggunaan disk. Pastikan konfigurasi privat dan metadata kontrol versi tidak dapat diambil melalui HTTP. Gunakan kumpulan alat terpasang terkecil yang mendukung beban kerja sebenarnya.

ss -lntup
df -h
free -h
systemctl --failed

Lakukan perubahan akses dalam urutan yang dapat dibalik

Pertama konfirmasi konsol atau jalur penyelamatan dan verifikasi kunci host SSH melalui saluran penyedia yang tepercaya. Pasang kunci publik untuk administrator bernama, lalu buka koneksi kedua dan uji eskalasi hak istimewa. Validasi sintaks konfigurasi SSH sebelum memuat ulang layanan. Terapkan perubahan firewall hanya setelah rute SSH yang dimaksud diizinkan. Nonaktifkan metode autentikasi lama setelah penggantinya berfungsi dari sesi baru, termasuk alur faktor kedua yang diperlukan.

• Periksa konfigurasi efektif dan snippet yang disertakan; pengaturan dalam satu file mungkin bukan kebijakan akhir.
• Periksa autentikasi kata sandi dan kebijakan keyboard-interactive saat meninjau desain login berbasis kunci.
• Port SSH non-default dapat mengurangi kebisingan latar belakang, tetapi tidak menggantikan kunci terverifikasi, batas akses, atau pembaruan.
• Gunakan nama layanan dan prosedur muat ulang untuk distribusi Anda. Pertahankan sesi asli hingga kebijakan baru terbukti.

# Validate before applying a changed SSH configuration.
sudo /usr/sbin/sshd -t
# Read effective settings; adapt user, host and client address to the test.
sudo /usr/sbin/sshd -T -C user=admin,host=server.example,addr=198.51.100.10

Dokumentasi resmi: OpenSSH: manual konfigurasi server

Buktikan firewall dari luar host

Tinjau firewall jaringan penyedia dan firewall tamu sebagai kontrol terpisah. Uji layanan yang dimaksud melalui IPv4 dan IPv6 dari mesin resmi lain. Koneksi lokal hanya membuktikan bahwa suatu proses sedang mendengarkan. Jangan menolak semua paket ICMP secara buta: operasi jaringan normal juga memerlukan lalu lintas kontrol yang sesuai. Periksa port yang dipublikasikan kontainer terhadap aturan sebenarnya karena eksposur aplikasi mungkin tidak sesuai dengan kebijakan yang Anda kira diterapkan oleh front end firewall.

• Jika SSH gagal, periksa pembatasan alamat sumber, antarmuka yang mendengarkan dan firewall penyedia sebelum berulang kali mengganti kunci.
• Jika HTTPS gagal, periksa DNS, pendengar proses, dan firewall lokal/proxy dalam urutan tersebut.
• Sebelum dataset produksi pertama, verifikasi status pembaruan, reboot bersih, peringatan disk, dan cadangan yang dapat dipulihkan secara independen.
• Tetapkan zona waktu yang terdokumentasi dan verifikasi sinkronisasi waktu. Jangan menambahkan swap atau pengaturan logging sembarangan tanpa memeriksa kebutuhan memori dan retensi beban kerja.

Dokumentasi resmi: Server Ubuntu: administrasi firewall