Linux-palvelinten tietoturva
SSH-kirjautumisen koventaminen
SSH on jokaisen Linux-palvelimen etuovi ja internetin yleisimmin brute force -hyökätty palvelu. Pelkkä avainkirjautuminen, rootin poistaminen käytöstä, fail2ban-vankilat ja epästandardit portit poistavat yhdessä lähes kaikki automatisoidut tunkeutumiset säilyttäen silti nopean pääsyn ylläpitäjille.
Keskeiset kohdat
- Siirrä kaikki tilit ed25519- tai RSA-4096-avainkirjautumiseen ja poista salasana kokonaan käytöstä.
- Aseta PermitRootLogin arvoon prohibit-password tai no ja hallinnoi sudolla varustettujen käyttäjien kautta.
- Siirrä SSH korkealle, epästandardille portille, jolloin poistat 99 % automatisoiduista skannauksista.
- Laita sshd fail2ban-vankilaan: 3-5 epäonnistumista laukaisee yhä pidempiä estoja.
- Rajoita SSH:ta AllowUsers- ja AllowGroups-asetuksilla sekä palomuurin sallituilla osoitelistoilla siellä, missä se on mahdollista.
- Pakota käyttämättömien istuntojen vanheneminen (ClientAliveInterval) ja poista tarpeettomat uudelleenohjaukset käytöstä.
- Auditoi authorized_keys neljännesvuosittain ja poista heti tiimistä lähteneiden avaimet.
- Harkitse port knocking -menetelmää tai SSH-pääsyä vain VPN:n kautta arvokkailla palvelimilla.
Usein kysytyt kysymykset
Jäänkö jumiin, jos siirryn pelkkään avainkirjautumiseen?
Et, jos teet sen vaiheittain: lisää avaimet, varmista että avainkirjautuminen toimii ja vasta sitten poista salasana käytöstä pitäen koko ajan yksi istunto auki muutoksen aikana.
Onko SSH-portin vaihtaminen turvallisuutta hämärän peitossa?
Osittain, mutta se poistaa lähes kaiken bottien kohinan, mikä tekee todellisista hyökkäysyrityksistä lokissa näkyviä eikä hautautuneita.
Pitäisikö root-kirjautuminen sallia koskaan?
Vain konsolin tai KVM:n kautta hätätilanteissa. Root SSH:n kautta päivittäin on riski, jota sinun ei tarvitse hyväksyä.
Entä toinen tekijä SSH:ssa?
TOTP avainten päällä on erinomainen hyppypalvelimille ja varapalvelimille; otamme sen käyttöön siellä, missä työnkulku sen sallii.
Näin Kinetikatech auttaa: linux-palvelinten tietoturva
Rehellisesti sanottuna useimmat tiimit päätyvät meille yritettyään ensin itse: CloudLinux-, Rocky Linux- ja cPanel-palvelinten koventaminen, valvonta ja puolustus haittaohjelmia, brute force -hyökkäyksiä ja tunkeutumisia vastaan, 24/7. Palvelumme Linux-palvelinten tietoturva ja Palvelinten ylläpito on olemassa, jotta sinun ei tarvitse tutustua linux-palvelinten tietoturva:hen kantapään kautta; me hoidamme käyttöönoton, valvonnan ja kolmen aikaan yöllä tulevat yllätykset.