Zabezpečení linuxových serverů
Zabezpečení přístupu přes SSH
SSH jsou vstupní dveře každého linuxového serveru a služba nejčastěji napadaná hrubou silou z internetu. Přihlašování pouze klíčem, vypnutý root, fail2ban pasti a nestandardní porty společně odstraní téměř všechny automatické průniky a zároveň zachovají rychlý přístup pro administrátory.
Klíčové body
- Převeďte všechny účty na přihlašování klíčem ed25519 nebo RSA-4096 a úplně vypněte heslo.
- Nastavte PermitRootLogin na prohibit-password nebo no a spravujte přes uživatele se sudo.
- Přesuňte SSH na vysoký nestandardní port, čímž odstraníte 99 % automatických skenů.
- Zařaďte sshd do fail2ban pastí: 3–5 selhání spustí stále delší blokování.
- Omezte SSH pomocí AllowUsers a AllowGroups plus povolených adres ve firewallu, kde to jde.
- Vynuťte vypršení neaktivních relací (ClientAliveInterval) a vypněte nevyužívané přesměrování.
- Každé čtvrtletí prověřte authorized_keys a okamžitě odstraňte klíče těch, kdo odešli z týmu.
- Na serverech s vysokou hodnotou zvažte port knocking nebo přístup přes SSH pouze přes VPN.
Časté dotazy
Zůstanu bez přístupu, když přejdu na přihlašování klíčem?
Ne, pokud to uděláte postupně: přidáte klíče, ověříte, že přihlášení klíčem funguje, a teprve pak vypnete heslo, přičemž během změny vždy držíte jedno aktivní otevřené připojení.
Je změna portu SSH bezpečnost skrze neznámost?
Částečně, ale odstraní téměř všechen šum od botů, takže skutečné pokusy o útok jsou v logu vidět, ne utopené.
Mělo by být někdy povoleno přihlášení roota?
Jen přes konzolu nebo KVM v nouzi. Root přes SSH každodenně je riziko, které nemusíte přijímat.
Jak je to s druhým faktorem u SSH?
TOTP nad klíči je výborný pro skokové hosty a záložní servery; nasazujeme ho tam, kde to pracovní postup dovolí.
Jak Kinetikatech pomáhá s zabezpečení linuxových serverů
Upřímně, většina týmů se na nás obrací poté, co to nejdřív zkusila sama: Zabezpečení, monitorování a obrana serverů CloudLinux, Rocky Linux a cPanel proti malwaru, útokům hrubou silou a průnikům, 24/7. Naše služba Zabezpečení linuxových serverů a Správa serverů je tu proto, abyste zabezpečení linuxových serverů nepoznávali na vlastní kůži; my se postaráme o zprovoznění, dohled a překvapení ve tři ráno.