Linux-szerverek biztonsága
Az SSH-hozzáférés megerősítése
Az SSH minden Linux-szerver bejárati ajtaja, és az interneten a leginkább brute force támadott szolgáltatás. A kizárólag kulcsos hitelesítés, a kikapcsolt root, a fail2ban cellák és a nem szabványos portok együtt gyakorlatilag az összes automatikus behatolást kiszűrik, miközben az adminisztrátorok gyors hozzáférése megmarad.
Kulcspontok
- Térj át minden fiókkal ed25519 vagy RSA-4096 kulcsos hitelesítésre, és teljesen kapcsold ki a jelszót.
- Állítsd a PermitRootLogin értékét prohibit-password vagy no értékre, és sudo jogú felhasználókon keresztül adminisztrálj.
- Tedd át az SSH-t egy magas, nem szabványos portra, hogy kiszűrd az automatikus szkennelések 99%-át.
- Tedd az sshd-t fail2ban cellákba: 3-5 sikertelen próbálkozás egyre hosszabb blokkolásokat indít el.
- Szűkítsd az SSH-t AllowUsers és AllowGroups beállításokkal, valamint ahol lehet, a tűzfalban engedélyezett címlistákkal.
- Kényszerítsd ki az inaktív munkamenetek lejáratát (ClientAliveInterval), és kapcsold ki a nem használt átirányításokat.
- Negyedévente auditáld az authorized_keys fájlt, és azonnal távolítsd el a csapatból távozók kulcsait.
- Nagy értékű szervereken gondolj port knockingra vagy kizárólag VPN-en keresztüli SSH-hozzáférésre.
Gyakori kérdések
Kizáródom, ha áttérek a kizárólag kulcsos hitelesítésre?
Nem, ha lépésenként csinálod: hozzáadod a kulcsokat, ellenőrzöd, hogy a kulcsos hitelesítés működik, és csak utána kapcsolod ki a jelszót, a váltás közben mindvégig nyitva tartva egy aktív munkamenetet.
Homályosításos biztonság az SSH-port cseréje?
Részben, de szinte az összes botzajt megszünteti, amitől a valódi támadási kísérletek láthatóvá válnak a naplóban, nem eltemetve maradnak.
Szabad-e valaha engedélyezni a root-hitelesítést?
Csak konzolon vagy KVM-en keresztül, vészhelyzetben. Root SSH-n keresztül, nap mint nap, olyan kockázat, amelyet nem kell elfogadnod.
Mi a helyzet a kétfaktoros hitelesítéssel SSH-nál?
A kulcsok fölötti TOTP kiváló ugrógazdákhoz és tartalékszerverekhez; ott vezetjük be, ahol a munkafolyamat megengedi.
Hogyan segít a Kinetikatech a linux-szerverek biztonsága területén
Nap mint nap ezt tesszük: CloudLinux, Rocky Linux és cPanel szerverek megerősítése, monitorozása és védelme malware, brute force támadások és behatolások ellen, 24/7. A Linux-szerverbiztonság és Szerveradminisztráció szolgáltatásunk mindent lefed az értékeléstől a bevezetésen és a 24/7 felügyeleten át a 30 perces sürgősségi beavatkozásig.