La prima ora: una superficie d'attacco più ridotta.

Verifica e preserva l'accesso

Conferma l'identità del server tramite un canale fidato e aggiungi la tua chiave pubblica SSH. Crea un utente amministrativo con nome. Mantieni aperta la sessione originale mentre provi quella nuova e registra il metodo di recupero prima di modificare l'autenticazione.

Applica le patch e riduci l'esposizione

Installa gli aggiornamenti di sicurezza supportati e riavvia se necessario. Esamina i servizi in ascolto e consenti nel firewall solo le porte necessarie, inclusa IPv6. Rimuovi i daemon inutilizzati ed evita di esporre pubblicamente un database solo per semplificare la configurazione.

Separa utenti e segreti

Esegui le applicazioni con i propri account. Mantieni la configurazione privata fuori dalla directory web pubblica ed escludila dal controllo di versione. Usa privilegi di database ristretti e credenziali separate per produzione ed esperimenti.

Lascia un percorso di ripristino funzionante

Imposta la rotazione dei log, gli avvisi sul disco e un backup separato. Riavvia una volta per verificare che l'applicazione si avvii correttamente. Registra cosa è cambiato così che la configurazione possa essere ricostruita su un'immagine pulita.

Verifica prima di chiudere la sessione

Apri una seconda connessione usando il nuovo account, verifica l'elevazione amministrativa e prova il firewall da un altro client. Conferma che il servizio ritorni dopo il riavvio. Mantieni documentata la rotta di recupero del provider, così che una regola di rete errata non richieda un recupero improvvisato.

Una lista di verifica per il primo giorno

Esamina i socket aperti, gli eventi di autenticazione recenti, lo stato degli aggiornamenti, l'età dei backup e l'uso del disco. Verifica che la configurazione privata e i metadati del controllo di versione non possano essere recuperati tramite HTTP. Usa il set più ristretto di strumenti installati che supporta il carico di lavoro effettivo.

ss -lntup
df -h
free -h
systemctl --failed

Apporta le modifiche di accesso in un ordine reversibile

Per prima cosa conferma la console o la via di rescue e verifica la chiave host SSH tramite un canale del provider affidabile. Installa la chiave pubblica per un amministratore nominato, poi apri una seconda connessione e verifica l'elevazione dei privilegi. Convalida la sintassi della configurazione SSH prima di ricaricare il servizio. Applica le modifiche al firewall solo dopo che la via SSH prevista è consentita. Disabilita un vecchio metodo di autenticazione dopo che il sostituto funziona da una sessione nuova, incluso l'eventuale flusso di secondo fattore richiesto.

• Ispeziona la configurazione effettiva e gli snippet inclusi; un'impostazione in un file potrebbe non essere la policy finale.
• Verifica sia l'autenticazione con password sia la policy keyboard-interactive quando esamini un progetto di accesso basato su chiave.
• Una porta SSH non predefinita può ridurre il rumore di fondo, ma non sostituisce chiavi verificate, limiti di accesso o aggiornamenti.
• Usa il nome del servizio e la procedura di ricaricamento della tua distribuzione. Mantieni la sessione originale finché la nuova politica non è dimostrata.

# Validate before applying a changed SSH configuration.
sudo /usr/sbin/sshd -t
# Read effective settings; adapt user, host and client address to the test.
sudo /usr/sbin/sshd -T -C user=admin,host=server.example,addr=198.51.100.10

Documentazione ufficiale: OpenSSH: manuale di configurazione del server

Verifica il firewall dall'esterno dell'host

Considera il firewall di rete del fornitore e il firewall del guest come controlli separati. Verifica il servizio previsto su IPv4 e IPv6 da un'altra macchina autorizzata. Una connessione locale prova solo che un processo è in ascolto. Non bloccare ciecamente ogni pacchetto ICMP: il normale funzionamento della rete richiede anche un adeguato traffico di controllo. Confronta le porte pubblicate dai container con le regole effettive, perché l'esposizione dell'applicazione potrebbe non corrispondere alla policy che ritenevi applicata da un front end firewall.

• Se SSH non funziona, controlla le restrizioni sugli indirizzi di origine, l'interfaccia in ascolto e il firewall del provider prima di cambiare ripetutamente le chiavi.
• Se HTTPS fallisce, controlla nell'ordine DNS, il listener del processo e il firewall locale/proxy.
• Prima del primo dataset di produzione, verifica lo stato degli aggiornamenti, un riavvio pulito, gli avvisi sul disco e un backup ripristinabile in modo indipendente.
• Imposta un fuso orario documentato e verifica la sincronizzazione dell'ora. Non aggiungere impostazioni arbitrarie di swap o logging senza controllare le esigenze di memoria e conservazione del carico di lavoro.

Documentazione ufficiale: Ubuntu Server: amministrazione del firewall