---
canonical: https://koalavps.com/uk/guides-vps-hardening-first-hour-opsec/
language: uk
generated: 2026-10-21T13:34:36.738Z
---

[Головна](https://koalavps.com/uk/) / [Огляд](https://koalavps.com/uk/resources/) /  Польові нотатки KoalaVPS

Польові нотатки KoalaVPS

# Перша година: менша поверхня атаки.

Ретельний перший сеанс встановлює доступ, оновлення та відновлення, не блокуючи вас.

[Знайдіть свій VPS](https://koalavps.com/uk/vps/)

## У ЦЬОМУ ДОКУМЕНТІ

[Перевірте та збережіть доступ](https://koalavps.com/uk/guides-vps-hardening-first-hour-opsec/#section-1)[Оновлюйте та зменшуйте вразливість](https://koalavps.com/uk/guides-vps-hardening-first-hour-opsec/#section-2)[Розділяйте користувачів і секрети](https://koalavps.com/uk/guides-vps-hardening-first-hour-opsec/#section-3)[Залиште робочий шлях відновлення](https://koalavps.com/uk/guides-vps-hardening-first-hour-opsec/#section-4)[Перевірте перед закриттям сеансу](https://koalavps.com/uk/guides-vps-hardening-first-hour-opsec/#section-5)[Контрольний список перевірки першого дня](https://koalavps.com/uk/guides-vps-hardening-first-hour-opsec/#section-6)[Вносьте зміни доступу у зворотному порядку](https://koalavps.com/uk/guides-vps-hardening-first-hour-opsec/#section-7)[Перевірте брандмауер ззовні хоста](https://koalavps.com/uk/guides-vps-hardening-first-hour-opsec/#section-8)[База знань](https://koalavps.com/uk/resources/)

## Перевірте та збережіть доступ

Підтвердьте ідентичність сервера через довірений канал і додайте свій публічний ключ SSH. Створіть іменованого адміністративного користувача. Тримайте початковий сеанс відкритим, поки тестуєте новий, і запишіть метод відновлення перед зміною автентифікації.

## Оновлюйте та зменшуйте вразливість

Встановіть підтримувані оновлення безпеки та перезавантажте за потреби. Перегляньте служби, що прослуховують, і дозвольте у брандмауері лише необхідні порти, зокрема IPv6. Видаліть невикористовувані демони та уникайте відкриття бази даних публічно лише для спрощення налаштування.

## Розділяйте користувачів і секрети

Запускайте застосунки під їхніми власними обліковими записами. Розміщуйте приватну конфігурацію поза публічним веб-каталогом і виключайте її з контролю версій. Використовуйте вузькі привілеї бази даних і окремі облікові дані для продакшену та експериментів.

## Залиште робочий шлях відновлення

Налаштуйте ротацію журналів, сповіщення про диск і окрему резервну копію. Перезавантажте один раз, щоб перевірити, що застосунок запускається правильно. Запишіть, що змінилося, щоб конфігурацію можна було відтворити на чистому образі.

## Перевірте перед закриттям сеансу

Відкрийте друге з'єднання з новим обліковим записом, перевірте адміністративні права та протестуйте брандмауер з іншого клієнта. Переконайтеся, що сервіс повертається після перезавантаження. Задокументуйте маршрут відновлення від постачальника, щоб помилкове мережеве правило не вимагало імпровізованого відновлення.

## Контрольний список перевірки першого дня

Перегляньте відкриті сокети, останні події автентифікації, стан оновлень, вік резервних копій і використання диска. Переконайтеся, що приватна конфігурація та метадані контролю версій недоступні через HTTP. Використовуйте мінімальний набір встановлених інструментів, що підтримує фактичне навантаження.

```
ss -lntup
df -h
free -h
systemctl --failed
```

## Вносьте зміни доступу у зворотному порядку

Спершу підтвердьте маршрут через консоль або режим відновлення та перевірте ключ хоста SSH через довірений канал постачальника. Встановіть публічний ключ для іменованого адміністратора, потім відкрийте друге з'єднання та перевірте підвищення привілеїв. Перевірте синтаксис конфігурації SSH, перш ніж перезавантажувати службу. Застосовуйте зміни брандмауера лише після того, як потрібний маршрут SSH дозволено. Вимкніть старий метод автентифікації після того, як заміна працює з нового сеансу, включно з будь-яким потрібним потоком другого фактора.

- Перегляньте чинну конфігурацію та включені фрагменти; налаштування в одному файлі може не бути остаточною політикою.

- Перевіряйте як автентифікацію паролем, так і політику клавіатурної взаємодії під час огляду схеми входу за ключем.

- Порт SSH, відмінний від типового, може зменшити фоновий шум, але не замінює перевірені ключі, обмеження доступу чи оновлення.

- Використовуйте назву служби та процедуру перезавантаження для вашого дистрибутива. Тримайте початковий сеанс, поки нова політика не буде доведена.

```
# Validate before applying a changed SSH configuration.
sudo /usr/sbin/sshd -t
# Read effective settings; adapt user, host and client address to the test.
sudo /usr/sbin/sshd -T -C user=admin,host=server.example,addr=198.51.100.10
```

Офіційна документація: [OpenSSH: посібник з конфігурації сервера](https://man.openbsd.org/sshd_config)

## Перевірте брандмауер ззовні хоста

Розглядайте фаєрвол мережі провайдера та фаєрвол гостьової системи як окремі засоби контролю. Перевірте потрібний сервіс через IPv4 та IPv6 з іншої авторизованої машини. Локальне з'єднання доводить лише те, що процес слухає. Не блокуйте сліпо всі пакети ICMP: для нормальної роботи мережі також потрібен належний контрольний трафік. Перевірте опубліковані порти контейнера щодо фактичних правил, оскільки доступність застосунку може не відповідати політиці, яку, на вашу думку, застосував фронтенд фаєрвола.

- Якщо SSH не працює, перевірте обмеження за вихідною адресою, інтерфейс прослуховування та брандмауер провайдера, перш ніж багаторазово змінювати ключі.

- Якщо HTTPS не працює, перевірте DNS, слухач процесу та локальний/проксі-фаєрвол саме в такому порядку.

- Перед першим робочим набором даних перевірте статус оновлень, чисте перезавантаження, сповіщення про диск і незалежно відновлювану резервну копію.

- Встановіть задокументований часовий пояс і перевірте синхронізацію часу. Не додавайте довільні налаштування swap або журналювання, не перевіривши потреби робочого навантаження в пам’яті та зберіганні.

Офіційна документація: [Ubuntu Сервер: адміністрування брандмауера](https://ubuntu.com/server/docs/how-to/security/firewalls/)

ПРОДОВЖУЙТЕ ДОСЛІДЖУВАТИ

## Продовжити читання.

[Посібники ### Від чистого образу до корисного сервера. Розумне початкове налаштування робить майбутнє обслуговування менш стресовим. Зберігайте запис рішень і перевіряйте кожну зміну до…](https://koalavps.com/uk/first-server/)[Посібники ### Машина залишається вашою. Безпека — це постійна рутина: зменшуйте відкриті поверхні, обмежуйте привілеї, оновлюйте продумано та забезпечуйте можливість відн…](https://koalavps.com/uk/server-security/)[Посібники ### Резервна копія має значення, коли вона відновлюється. Створіть резервну копію навколо даних, які ви не можете відтворити, і часу, втрату якого ваш сервіс може дозволити. Успішне завант…](https://koalavps.com/uk/backups/)

НАЛАШТУЙТЕ ВАШУ ІНФРАСТРУКТУРУ

## Візьміть контроль. Розгортайте на своїх умовах.

Без паперів про особу. Повний адміністративний доступ. Криптонативна оплата.

[Виберіть конфігурацію](https://koalavps.com/uk/vps/)