- Füüsiliste, võrgu- ja teenuste tugevdamise meetmete rakendamine rünnakupinna vähendamiseks.
- Tulemüüri konfiguratsioon, sissetungimise ennetamise süsteemid ja täiustatud SSH-juurdepääsu haldus.
- Kohustuslike juurdepääsukontrolli tööriistade (nt AppArmor ja SELinux) kasutamine kriitiliste protsesside isoleerimiseks.
- Ennetava hoolduse olulisus automaatsete värskenduste ja andmete krüptimise kaudu.
Debiani süsteemi seadistades, olgu see siis võimsal serveril, virtuaalmasinal või isegi Raspberry Pi-l, eeldame sageli, et distributsiooni stabiilsus on piisav. Aga olgem ausad, turvalisus on pidev protsess , mitte midagi, mille installid ja unustad. Kui sinu süsteem on internetiga kokku puutunud, riskid bottide ja häkkerite vastu, kes kunagi ei puhka.
Sa ei pea olema küberturbeekspert, et ründajate jaoks asju keeruliseks teha. Mõne karmistava muudatusega saad muuta lihtsa installatsiooni digitaalseks bunkriks, piirates sisenemispunkte ja tagades, et isegi kui keegi peaks sisse pääsema, pole tal manööverdamisruumi ja kahju tekitamiseks.
Riistvara kaitse ja füüsiline turvalisus
See tundub ilmselge, aga kui kellelgi on füüsiline juurdepääs teie masinale, langeb turvalisuse tase järsult . Parima tulemüüri omamine on kasutu, kui keegi saab USB-draivi ühendada ja arvuti taaskäivitada. Esimene samm on piirata juurdepääsu serverile ja ennekõike kaitsta BIOS-i või UEFI-d tugeva parooliga, et vältida käivitusjärjekorra muutmist.
Andmete lekke või pahavara laadimise vältimiseks välisseadmete kaudu on tungivalt soovitatav keela USBSeda tehakse faili loomisega /etc/modprobe.d/no-usb.conf joonega blacklist usb_storage ja algse failisüsteemi värskendamine update-initramfs -u.
Teine kriitiline punkt on kataloogide kaitse. /bootEt keegi ei saaks kerneli ilma loata muuta, saame failis ühenduspunkti konfigureerida /etc/fstab kui kirjutuskaitstud režiim (ro)kirjutamise aktiveerimine ainult siis, kui meil on vaja värskendust teha.
Kui tahame kaugemale jõuda, on oluline krüpteeri kettaid installimise ajal. See tagab, et isegi füüsilise draivi varastamisel või ketta kloonimisel on teave loetamatu. Samuti on soovitatav keela lähtestamisklahvid (nagu Ctrl+Alt+Del) kasutades systemctl mask ctrl-alt-del.target juhusliku või pahatahtliku taaskäivitamise vältimiseks.
Võrgu turvalisus ja SSH haldus
Internet on kahtlemata suurim kokkupuutepind. Kuldreegel on siin see, et vähem on rohkemMida vähem rakendusi ja teenuseid teil töötab, seda vähem uksi ründajatele lahti jätate. Oluline on kasutada selliseid tööriistu nagu netstat -tunl o ss -tunl para jälgige avatud porte ja sulge kõik, mis pole rangelt vajalik.
SSH-juurdepääs on peamine haldusvärav, seega peab see olema turvaline. Unustage port 22; muutke vaikeporti Juhusliku arvu (näiteks 2324) kasutamine vähendab drastiliselt robotirünnakuid. Lisaks on hädavajalik keela root-sisselogimine ja keelake juurdepääs konfiguratsioonifailis tühjade paroolidega sshd_config.
Kõige turvalisem viis oma serverile ligi pääseda on avalike-privaatsete võtmete kasutamine , mis keelab täielikult traditsioonilise parooliga autentimise. Lisakaitsekihina saate installida Fail2Bani , mis blokeerib automaatselt IP-aadressid, millel on liiga palju sisselogimiskatseid, leevendades seeläbi jõhkrate rünnakute ohtu.
Kui te ei vaja IPv6 protokolli, on kõige parem see sysctl.conf failis keelata, lisades rea `disable_ipv6`. See lihtsustab võrguhaldust ja kõrvaldab ebavajalikud rünnakuvektorid. Samuti on soovitatav integreerida süsteem IDS-i ja IPS-i sondidega ning auditeerida oma kohaliku võrgu turvalisust, et tuvastada kahtlast külgmist liikumist.
Teenuse optimeerimine ja kokkupuute vähendamine
Tootmisserveril ei tohiks olla graafilist keskkonda; masina sundimine käivituma mittegraafilises režiimis säästab ressursse ja kõrvaldab haavatava tarkvara. Logimise osas on hea mõte seadistada RsysLog nii, et see saadaks logide koopiad välisele serverile, takistades ründajal oma jälgede kustutamist kohalikus süsteemis.
Nullpäeva rünnakute vältimiseks on see nutikas. peida tarkvaraversioon mida me kasutame. Nginxis piisab sellest, kui kasutada server_tokens off; ja Apache'is seadistage ServerSignature OffNii ei tea ründaja täpselt, milline versioon meil on, ja neil on palju raskem leida ühilduvat rünnakut.
Kasulik on ka ICMP-liikluse (pingi) haldamine. Pingi blokeerimine IPTABLESi või UFW abil võib muuta teie seadme esmastel skannimistel vähem nähtavaks. Rakenduste põhjalikumaks kaitsmiseks on HTTP-liikluse haldamisel hädavajalik veebirakenduste tulemüür (WAF) .
Me ei saa unustada kasutajahaldust. Vaikimisi paroolide säilitamine on tohutu viga . Peame looma piiratud õigustega kasutajad, õppima, kuidas Linuxis sudo't turvaliselt kasutada , ja kustutama kõik vaikekontod (näiteks Raspberry Pi-l kasutaja 'pi'), et vältida volitamata juurdepääsu.
Täiustatud juhtimis- ja isolatsioonitööriistad
Protsessi tasandil õiguste haldamiseks on meil kohustuslikud juurdepääsukontrolli (MAC) süsteemid. AppArmor on integreeritud Debiani tänapäevastesse versioonidesse ja võimaldab teil piirata, millistele failidele või teedele iga rakendus juurde pääseb. Kui vajate midagi veelgi võimsamat ja detailsemat, võite valida SELinuxi , kuigi selle konfiguratsioon on keerulisem ja nõuab AppArmori eelnevat desinstallimist.
Teine suurepärane strateegia on isolatsioon konteinerite abil . Dockeri või Podmani kasutamine võimaldab igal teenusel töötada oma keskkonnas, takistades veebiteenuse haavatavusel ülejäänud operatsioonisüsteemi ohtu seadmast. Nende konteinerite ajakohasena hoidmiseks ilma probleemideta automatiseerivad tööriistad nagu Watchtower uuendused.
Tulemüüri osas on algajatele ideaalne valik tööriist Uncomplicated Firewall (UFW) . Soovitatav konfiguratsioon on vaikimisi keelata kogu sissetulev liiklus ja lubada ainult vajalikud pordid (näiteks modifitseeritud SSH-port või pordid 80/443 veebiühenduse jaoks), lisaks lubada liiklust kohalikus võrgus.
Lõpuks on oluline tarkvara ajakohasena hoida. Debianis peame tagama, et turvahoidla on konfigureeritud en sources.listAutomatiseerige see protsess koos unattended-upgrades See tagab kriitiliste paranduste installimise ilma, et peaksime iga päev käsitsi sekkuma.
Täielikku turvalisust ei eksisteeri, kuid rakendades tugevat ketta krüptimist , kasutajate ranget haldamist, SSH-juurdepääsu turvamist ning teenuste isoleerimist konteinerite ja AppArmori abil, minimeerime rünnakupinda. Süsteemi ajakohasena hoidmine ja avatud portide jälgimine on tavad, mis eristavad haavatavat serverit tõeliselt professionaalsest.
Kirglik kirjanik baitide maailmast ja üldse tehnoloogiast. Mulle meeldib jagada oma teadmisi kirjutamise kaudu ja just seda ma selles ajaveebis teengi, näitan teile kõike kõige huvitavamat vidinate, tarkvara, riistvara, tehnoloogiliste suundumuste ja muu kohta. Minu eesmärk on aidata teil digimaailmas lihtsal ja meelelahutuslikul viisil navigeerida.