Prima oră: o suprafață de atac mai mică.

Verificați și păstrați accesul

Confirmați identitatea serverului printr-un canal de încredere și adăugați cheia publică SSH. Creați un utilizator administrativ cu nume. Păstrați sesiunea originală deschisă în timp ce o testați pe cea nouă și înregistrați metoda de recuperare înainte de a schimba autentificarea.

Aplicați patch-uri și reduceți expunerea

Instalați actualizările de securitate acceptate și reporniți dacă este necesar. Examinați serviciile în ascultare și permiteți în firewall doar porturile necesare, inclusiv IPv6. Eliminați daemonii nefolosiți și evitați expunerea publică a unei baze de date doar pentru a facilita configurarea.

Separați utilizatorii și secretele

Rulați aplicațiile sub propriile conturi. Plasați configurația privată în afara directorului web public și excludeți-o din controlul versiunilor. Utilizați privilegii înguste pentru baza de date și acreditări separate pentru producție și experimente.

Lasă o cale de recuperare funcțională

Configurați rotația jurnalelor, alertele de disc și un backup separat. Reporniți o dată pentru a verifica dacă aplicația pornește corect. Înregistrați ce s-a schimbat, astfel încât configurația să poată fi reconstruită pe o imagine curată.

Verificați înainte de a închide sesiunea

Deschideți o a doua conexiune folosind noul cont, verificați escaladarea administrativă și testați firewall-ul de la un alt client. Confirmați că serviciul revine după repornire. Documentați ruta de recuperare a furnizorului, astfel încât o regulă de rețea greșită să nu necesite o recuperare improvizată.

O listă de verificare pentru prima zi

Verificați socketurile deschise, evenimentele recente de autentificare, starea actualizărilor, vechimea copiilor de rezervă și utilizarea discului. Asigurați-vă că configurația privată și metadatele de control al versiunilor nu pot fi preluate prin HTTP. Folosiți cel mai mic set de instrumente instalate care susține sarcina reală.

ss -lntup
df -h
free -h
systemctl --failed

Faceți modificările de acces într-o ordine reversibilă

Confirmă mai întâi ruta consolei sau de recuperare și verifică cheia de host SSH printr-un canal de încredere al furnizorului. Instalează cheia publică pentru un administrator numit, apoi deschide o a doua conexiune și testează escaladarea privilegiilor. Validează sintaxa configurației SSH înainte de a reîncărca serviciul. Aplică modificările de firewall numai după ce ruta SSH dorită este permisă. Dezactivează o metodă veche de autentificare după ce înlocuitorul funcționează dintr-o sesiune nouă, incluzând orice flux de al doilea factor necesar.

• Inspectează configurația efectivă și fragmentele incluse; o setare dintr-un fișier poate să nu fie politica finală.
• Verificați atât autentificarea prin parolă, cât și politica de tip keyboard-interactive atunci când evaluați un design de autentificare bazat pe chei.
• Un port SSH diferit de cel implicit poate reduce zgomotul de fundal, dar nu înlocuiește cheile verificate, limitele de acces sau actualizările.
• Folosiți numele serviciului și procedura de reîncărcare pentru distribuția dumneavoastră. Păstrați sesiunea originală până când noua politică este dovedită.

# Validate before applying a changed SSH configuration.
sudo /usr/sbin/sshd -t
# Read effective settings; adapt user, host and client address to the test.
sudo /usr/sbin/sshd -T -C user=admin,host=server.example,addr=198.51.100.10

Documentație oficială: OpenSSH: manual de configurare a serverului

Dovediți firewall-ul din afara gazdei

Revizuiți firewall-ul rețelei furnizorului și firewall-ul invitatului ca mecanisme de control separate. Testați serviciul dorit prin IPv4 și IPv6 de pe o altă mașină autorizată. O conexiune locală dovedește doar că un proces ascultă. Nu blocați orbește fiecare pachet ICMP: funcționarea normală a rețelei necesită și trafic de control adecvat. Verificați porturile publicate de container față de regulile reale, deoarece expunerea aplicației poate să nu corespundă politicii pe care credeați că a aplicat un front-end de firewall.

• Dacă SSH eșuează, inspectați restricțiile adresei sursă, interfața de ascultare și firewall-ul furnizorului înainte de a schimba în mod repetat cheile.
• Dacă HTTPS eșuează, verifică DNS, procesul care ascultă și firewall-ul local/proxy, în această ordine.
• Înainte de primul set de date de producție, verifică starea actualizărilor, o repornire curată, alertele de disc și o copie de siguranță care poate fi restaurată independent.
• Setează un fus orar documentat și verifică sincronizarea orei. Nu adăuga setări arbitrare de swap sau de jurnalizare fără a verifica nevoile de memorie și de retenție ale sarcinii de lucru.

Documentație oficială: Ubuntu Server: administrarea firewall-ului