Первый час: меньшая поверхность атаки.

Проверьте и сохраните доступ

Подтвердите идентичность сервера через доверенный канал и добавьте свой открытый ключ SSH. Создайте именованного административного пользователя. Держите исходный сеанс открытым, пока тестируете новый, и зафиксируйте способ восстановления до изменения аутентификации.

Устанавливайте обновления и снижайте подверженность риску

Установите поддерживаемые обновления безопасности и при необходимости перезагрузитесь. Проверьте прослушиваемые службы и разрешите в брандмауэре только необходимые порты, включая IPv6. Удалите неиспользуемые демоны и не открывайте базу данных публично только ради упрощения настройки.

Разделяйте пользователей и секреты

Запускайте приложения под их собственными аккаунтами. Размещайте приватную конфигурацию вне публичного веб-каталога и исключайте её из системы контроля версий. Используйте узкие привилегии базы данных и отдельные учётные данные для продакшена и экспериментов.

Оставьте рабочий путь восстановления

Настройте ротацию журналов, оповещения о диске и отдельную резервную копию. Перезагрузите один раз, чтобы убедиться, что приложение запускается корректно. Зафиксируйте изменения, чтобы конфигурацию можно было воссоздать на чистом образе.

Проверьте перед закрытием сеанса

Откройте второе подключение с новой учётной записью, проверьте административные права и протестируйте межсетевой экран с другого клиента. Убедитесь, что сервис возвращается после перезагрузки. Задокументируйте маршрут восстановления у провайдера, чтобы ошибочное сетевое правило не потребовало импровизированного восстановления.

Список проверок на первый день

Проверьте открытые сокеты, недавние события аутентификации, статус обновлений, возраст резервных копий и использование диска. Убедитесь, что приватная конфигурация и метаданные системы контроля версий недоступны по HTTP. Используйте минимальный набор установленных инструментов, достаточный для фактической нагрузки.

ss -lntup
df -h
free -h
systemctl --failed

Вносите изменения доступа в обратимом порядке

Сначала подтвердите доступ к консоли или маршрут восстановления и проверьте ключ хоста SSH через доверенный канал провайдера. Установите открытый ключ для именованного администратора, затем откройте второе соединение и проверьте повышение привилегий. Проверьте синтаксис конфигурации SSH перед перезагрузкой службы. Применяйте изменения брандмауэра только после того, как разрешён нужный маршрут SSH. Отключите старый метод аутентификации после того, как замена заработает из нового сеанса, включая необходимый поток второго фактора.

• Проверьте действующую конфигурацию и включённые фрагменты; настройка в одном файле может не быть итоговой политикой.
• При проверке схемы входа по ключу проверяйте как аутентификацию по паролю, так и политику клавиатурно-интерактивного входа.
• Порт SSH, отличный от стандартного, может снизить фоновый шум, но не заменяет проверенные ключи, ограничения доступа или обновления.
• Используйте имя службы и процедуру перезагрузки для вашего дистрибутива. Сохраняйте исходный сеанс, пока новая политика не будет проверена.

# Validate before applying a changed SSH configuration.
sudo /usr/sbin/sshd -t
# Read effective settings; adapt user, host and client address to the test.
sudo /usr/sbin/sshd -T -C user=admin,host=server.example,addr=198.51.100.10

Официальная документация: OpenSSH: руководство по конфигурации сервера

Проверьте межсетевой экран извне хоста

Рассматривайте сетевой межсетевой экран провайдера и гостевой межсетевой экран как отдельные средства контроля. Проверьте целевой сервис по IPv4 и IPv6 с другой авторизованной машины. Локальное подключение доказывает лишь то, что процесс прослушивает порт. Не блокируйте слепо все пакеты ICMP: для нормальной работы сети также нужен надлежащий управляющий трафик. Сверяйте опубликованные порты контейнера с фактическими правилами, поскольку доступность приложения может не соответствовать политике, которую, по вашему мнению, применил межсетевой экран.

• Если SSH не работает, проверьте ограничения по адресу источника, интерфейс прослушивания и межсетевой экран провайдера, прежде чем многократно менять ключи.
• Если HTTPS не работает, проверьте DNS, прослушивающий процесс и локальный/прокси-файрвол — именно в таком порядке.
• Перед первым рабочим набором данных проверьте статус обновлений, чистую перезагрузку, оповещения о диске и независимо восстановимую резервную копию.
• Задайте задокументированный часовой пояс и проверьте синхронизацию времени. Не добавляйте произвольные настройки swap или логирования, не проверив потребности рабочей нагрузки в памяти и хранении.

Официальная документация: Ubuntu Сервер: администрирование брандмауэра