Zabezpečenie VPS servera: SSH kľúče, firewall a aktualizácie

Zabezpečenie VPS servera nemožno odkladať: po vytvorení servera na verejnom internete naň veľmi rýchlo začnú prichádzať automatické pokusy o prihlásenie. Nejde o cielený útok, ale o plošné skenovanie, ktoré hľadá slabé heslá a nezáplatené služby. Tento sprievodca popisuje kroky, ktoré sa na bežnom linuxovom serveri oplatí urobiť hneď po prvom prihlásení.

Prihlásenie cez SSH kľúč

Namiesto hesla použite pár kľúčov: súkromný kľúč ostáva na vašom zariadení a verejný sa uloží na server. Útočník, ktorý nepozná súkromný kľúč, sa nemôže prihlásiť, a to ani keby poznal všetky ostatné informácie. Súkromný kľúč chráňte heslom a nikdy ho nekopírujte na cudzie miesta.

Po overení, že prihlásenie kľúčom funguje, vypnite v konfigurácii SSH prihlasovanie heslom a priame prihlásenie používateľa root. Konfiguráciu meňte opatrne a nezatvárajte súčasnú reláciu, kým si neoverite, že sa dá prihlásiť novým spôsobom. Inak sa môžete zo servera vymknúť.

Samostatný používateľ a oprávnenia

Vytvorte bežného používateľa, ktorý bude na správu servera využívať zvýšené oprávnenia len podľa potreby. Priame používanie účtu root zvyšuje dosah chýb aj útokov. Ak sa útočník dostane do bežného účtu, ešte musí získať vyššie oprávnenia, čo mu proces sťažuje.

Aplikácie spúšťajte pod vlastnými, obmedzenými účtami, nie pod rootom. Obmedzte, ktoré súbory a priečinky môžu čítať a zapisovať. Podobne ako pri bežných počítačoch platí zásada minimálnych oprávnení, o ktorej píšeme aj v kategórii operačné systémy.

Firewall a minimum služieb

Firewall nastavte tak, aby povoľoval iba prichádzajúce spojenia na služby, ktoré skutočne prevádzkujete, typicky SSH a prípadne webový server. Všetko ostatné zablokujte. Každá otvorená služba je potenciálny vstup pre útočníka, preto vypnite alebo odinštalujte programy, ktoré nepotrebujete.

Dodatočne môžete obmedziť prístup k SSH iba z vybraných adries alebo ho skryť za VPN. Zmena predvoleného portu SSH znižuje množstvo záznamov v logoch, no nie je to skutočná ochrana. Spolieha sa na skrytosť, preto ju berte len ako doplnok k silnejším opatreniam.

Aktualizácie, logy a zálohy

Zapnite automatické bezpečnostné aktualizácie alebo si naplánujte pravidelné okná údržby. Nepodporovaný systém alebo zastaraný softvér sú jednou z najčastejších príčin kompromitácie servera. Aktualizácie majú zmysel aj pre aplikácie, ktoré na serveri bežia, nielen pre samotný systém.

Sledujte logy prihlásení a nastavte upozornenia na podozrivú aktivitu. Nástroje, ktoré dočasne blokujú adresy po opakovaných neúspešných pokusoch, pomáhajú proti hádaniu hesiel. Najdôležitejšie je pravidelné zálohovanie mimo servera, podrobnosti sú v článku o zálohovaní. Zabezpečte aj účet u poskytovateľa pomocou ochrany účtov.

Typické chyby

K častým chybám patrí ponechanie predvoleného hesla, otvorenie databázy do internetu, používanie nešifrovaných protokolov na správu a ukladanie tajných kľúčov priamo v kóde alebo v repozitároch. Ďalšou je zabudnutá testovacia služba, ktorá ostane bežať a nikto ju neaktualizuje.

Jednoduchým návykom je zoznam: čo na serveri beží, kto má prístup, kde sú zálohy a ako sa obnoví prevádzka. Zoznam si udržiavajte a pri každej zmene ho aktualizujte. Základné pojmy nájdete v slovníku.