İlk saat: daha küçük bir saldırı yüzeyi.

Erişimi doğrulayın ve koruyun

Sunucu kimliğini güvenilir bir kanaldan doğrulayın ve SSH ortak anahtarınızı ekleyin. Adlandırılmış bir yönetici kullanıcı oluşturun. Yenisini test ederken özgün oturumu açık tutun ve kimlik doğrulamayı değiştirmeden önce kurtarma yöntemini kaydedin.

Yamalayın ve maruziyeti azaltın

Desteklenen güvenlik güncellemelerini yükleyin ve gerekirse yeniden başlatın. Dinleyen hizmetleri gözden geçirin ve güvenlik duvarında yalnızca gerekli bağlantı noktalarına, IPv6 dahil, izin verin. Kullanılmayan arka plan programlarını kaldırın ve yalnızca kurulumu kolaylaştırmak için bir veritabanını herkese açık hale getirmekten kaçının.

Kullanıcıları ve sırları ayırın

Uygulamaları kendi hesapları altında çalıştırın. Özel yapılandırmayı genel web dizininin dışında tutun ve sürüm kontrolünden hariç bırakın. Dar veritabanı ayrıcalıkları ve üretim ile deneyler için ayrı kimlik bilgileri kullanın.

Çalışan bir kurtarma yolu bırakın

Günlük rotasyonu, disk uyarılarını ve ayrı bir yedek ayarlayın. Uygulamanın doğru başladığını doğrulamak için bir kez yeniden başlatın. Yapılandırmanın temiz bir imajda yeniden oluşturulabilmesi için nelerin değiştiğini kaydedin.

Oturumu kapatmadan önce kontrol edin

Yeni hesapla ikinci bir bağlantı açın, yönetici yetkisinin yükseltilmesini doğrulayın ve güvenlik duvarını başka bir istemciden test edin. Hizmetin yeniden başlatmadan sonra geri döndüğünü onaylayın. Hatalı bir ağ kuralının doğaçlama bir kurtarma gerektirmemesi için sağlayıcı kurtarma rotasını belgelenmiş halde tutun.

İlk gün doğrulama listesi

Açık soketleri, son kimlik doğrulama olaylarını, güncelleme durumunu, yedek yaşını ve disk kullanımını gözden geçirin. Özel yapılandırma ve sürüm kontrolü üst verilerinin HTTP üzerinden çekilemediğini doğrulayın. Gerçek iş yükünü destekleyen en küçük kurulu araç kümesini kullanın.

ss -lntup
df -h
free -h
systemctl --failed

Erişim değişikliklerini geri alınabilir bir sırayla yapın

Önce konsolu veya kurtarma yolunu doğrulayın ve SSH ana makine anahtarını güvenilir bir sağlayıcı kanalı üzerinden teyit edin. Genel anahtarı adlandırılmış bir yönetici için yükleyin, ardından ikinci bir bağlantı açın ve ayrıcalık yükseltmeyi test edin. Hizmeti yeniden yüklemeden önce SSH yapılandırma sözdizimini doğrulayın. Güvenlik duvarı değişikliklerini yalnızca amaçlanan SSH yolu izin verildikten sonra uygulayın. Eski bir kimlik doğrulama yöntemini, yenisinin yeni bir oturumdan çalışmasından ve gerekli ikinci faktör akışının dahil edilmesinden sonra devre dışı bırakın.

• Etkin yapılandırmayı ve dahil edilen parçacıkları inceleyin; bir dosyadaki ayar nihai ilke olmayabilir.
• Anahtar tabanlı bir oturum açma tasarımını incelerken hem parola kimlik doğrulamasını hem de klavye etkileşimli politikayı kontrol edin.
• Varsayılan olmayan bir SSH bağlantı noktası arka plan gürültüsünü azaltabilir, ancak doğrulanmış anahtarların, erişim sınırlarının veya güncellemelerin yerini tutmaz.
• Dağıtımınız için hizmet adını ve yeniden yükleme prosedürünü kullanın. Yeni politika kanıtlanana kadar özgün oturumu açık tutun.

# Validate before applying a changed SSH configuration.
sudo /usr/sbin/sshd -t
# Read effective settings; adapt user, host and client address to the test.
sudo /usr/sbin/sshd -T -C user=admin,host=server.example,addr=198.51.100.10

Resmi belgeler: OpenSSH: sunucu yapılandırma kılavuzu

Güvenlik duvarını sunucunun dışından doğrulayın

Sağlayıcı ağ güvenlik duvarını ve konuk güvenlik duvarını ayrı kontroller olarak inceleyin. Amaçlanan hizmeti başka bir yetkili makineden IPv4 ve IPv6 üzerinden test edin. Yerel bir bağlantı yalnızca bir sürecin dinlediğini kanıtlar. Her ICMP paketini körü körüne reddetmeyin: normal ağ işleyişi uygun kontrol trafiğine de ihtiyaç duyar. Konteyner tarafından yayımlanan bağlantı noktalarını gerçek kurallarla karşılaştırın çünkü uygulama maruziyeti, bir güvenlik duvarı ön ucunun uyguladığını düşündüğünüz politikayla eşleşmeyebilir.

• SSH başarısız olursa, anahtarları tekrar tekrar değiştirmeden önce kaynak adres kısıtlamalarını, dinleme arayüzünü ve sağlayıcı güvenlik duvarını inceleyin.
• HTTPS başarısız olursa, sırasıyla DNS, süreç dinleyicisini ve yerel/proxy güvenlik duvarını kontrol edin.
• İlk üretim veri kümesinden önce güncelleme durumunu, temiz bir yeniden başlatmayı, disk uyarılarını ve bağımsız olarak geri yüklenebilir bir yedeği doğrulayın.
• Belgelenmiş bir saat dilimi ayarlayın ve saat eşitlemesini doğrulayın. İş yükünün bellek ve saklama ihtiyaçlarını kontrol etmeden rastgele takas veya günlük ayarları eklemeyin.

Resmi belgeler: Ubuntu Sunucu: güvenlik duvarı yönetimi