Hold VPS-en din trygg: hardening, Lynis og en fast vedlikeholdsrutine
Med Sikre VPS-en din: de fem første minuttene legger du grunnlaget: oppdateringer, innlogging med nøkkel, brannmur og fail2ban. Men en server blir aldri ferdig. Programvare blir utdatert, sertifikater går ut og disker blir fulle. Her leser du hvordan du deretter strammer inn serveren steg for steg (hardening), hvordan du kontrollerer den med Lynis, og hvilken vedlikeholdsrytme som hjelper.
Fire prinsipper
- En liten angrepsflate. Det som ikke finnes, kan ikke lekke. Fjern tjenester og pakker du ikke bruker, og hold bare de portene åpne utenfra som virkelig trengs. Se Hvilke tjenester lytter på VPS-en din, og hva er tilgjengelig utenfra?
- Minimale rettigheter. Ikke gjør daglig arbeid som root, kjør tjenester under egen bruker, og bruk aldri
chmod 777. Se Lese og sette filrettigheter riktig på VPS-en din. - Forsvar i lag. Gå ut fra at ett tiltak svikter. En database som bare lytter på
127.0.0.1, står bak en brannmur og har et sterkt passord, er fortsatt trygg hvis ett av de tre faller bort. - Se hva som skjer. Logger, overvåking og sikkerhetskopier. Uten disse tre oppdager du et problem først når det er for sent.
CIS Benchmarks i korte trekk
Center for Internet Security (CIS) lager CIS Benchmarks: lister med anbefalte innstillinger per produkt, også for Debian og Ubuntu. De er delt inn i Level 1 (grunnleggende tiltak uten mange ulemper, målet for de fleste servere) og Level 2 (strengere, kan koste funksjoner eller ytelse). Bruk dem som oppslagsverk: forstå en anbefaling før du tar den i bruk, endre én ting om gangen og noter hvorfor du bevisst lar være å gjøre noe. Vær forsiktig med ferdige skript som bruker «alt fra CIS» på én gang: med dem stenger du deg lett ute.
Kontrollere med Lynis
Lynis er et gratis program med åpen kildekode som sjekker serveren din innenfra. Det endrer ingenting selv, det bare rapporterer.
sudo apt install lynis sudo lynis audit system
På AlmaLinux og Rocky Linux installerer du det fra EPEL med sudo dnf install lynis. Slik leser du resultatet:
- Warnings må du virkelig se på, for eksempel pakker med kjente sårbarheter (da venter det oppdateringer).
- Suggestions er råd. Mange er nyttige, noen passer ikke til serveren din. Et forslag om å slå av
AllowTcpForwardingødelegger for eksempel SSH-tunnelene dine. Ikke følg dem blindt. - Hver melding har en kode i hakeparentes, for eksempel
[SSH-7408]. Med den søker du i/var/log/lynis.logetter hva som ble testet. - Hardening index (et tall opp til 100) er en pekepinn, ikke en karakter å jage etter.
Ta et snapshot før du endrer noe på bakgrunn av Lynis, se Snapshots og sikkerhetskopier av VPS-en din, og vit hvordan du åpner konsollen hvis du likevel stenger deg selv ute.
En vedlikeholdsrytme
Et eksempel for en liten server. Tilpass det til din egen situasjon og legg tidspunktene inn i kalenderen.
| Når | Hva |
|---|---|
| Hver uke | Gå gjennom varsler fra overvåkingen; systemctl --failed; start på nytt hvis /var/run/reboot-required finnes |
| Hver måned | apt list --upgradable (blir noe hengende?); oppdater containere; diskplass; feil i loggen med journalctl -p err --since "1 month ago" |
| Hvert kvartal | Gjenopprett en sikkerhetskopi som test; gå gjennom brukere og authorized_keys; kjør Lynis på nytt |
| Hvert år | Sjekk sluttdatoen for versjonen din og planlegg en oppgradering; oppdater security.txt hvis du har en; oppdater serverdokumentasjonen din |
Hjelp med de enkelte delene: Oppdateringer og automatiske oppdateringer, Overvåking utenfra og innenfra, Sikkerhetskopier med restic til et annet sted, Trekke tilbake SSH-tilgang til VPS-en din for en tidligere ansatt eller en mistet laptop og Oppgradere VPS-en din til en ny versjon av Debian eller Ubuntu.
Serverdokumentasjon
Skriv et kort dokument per server og oppbevar det utenfor serveren, for eksempel i passordbehandleren din:
- navn, IP-adresser, operativsystem og sluttdatoen for den versjonen;
- hva som kjører (tjenester, containere, nettsteder) og hvilke porter som er åpne for dem;
- hvor sikkerhetskopiene ligger, hvordan du gjenoppretter og når du sist testet det;
- hvilke hemmeligheter som ligger på serveren (ikke selve hemmelighetene, men hvilke og hvor du bytter dem);
- hvem som har tilgang, og hva du bevisst gjorde annerledes enn standard.
Denne dokumentasjonen hjelper ved driftsforstyrrelser, ved oppgraderinger og når noen andre overtar administrasjonen.
timedatectl at klokken er synkronisert: med feil tid blir loggene ubrukelige, og sertifikater kan bli regnet som ugyldige.VPS-en din er fullstendig selvadministrert: hardening og vedlikehold inne på serveren gjør du selv. Vi hjelper med WebOké-delen, som VPS-skjermen, nettverket, snapshots og de daglige sikkerhetskopiene.
Vil du lære mer? Ta det gratis kurset VPS og Linux-serveradministrasjon, leksjon 10.1 Hardening og CIS-prinsipper eller leksjon 10.4 Sluttsjekk: serveren din under lupen.