리눅스 서버 보안
SSH 키 하드닝
SSH는 모든 리눅스 서버의 현관이며 인터넷에서 가장 무차별 대입 공격을 받는 서비스입니다. 키 전용 인증, 루트 로그인 비활성화, fail2ban 감옥, 비표준 포트의 조합은 거의 모든 자동 SSH 침입을 제거하면서 합법적인 관리 접근을 빠르게 유지합니다.
핵심 내용
- 모든 계정을 ed25519 또는 RSA-4096 키 인증으로 마이그레이션하고 비밀번호 인증을 완전히 비활성화하십시오.
- PermitRootLogin을 prohibit-password 또는 no로 설정하고 sudo 사용자로 관리하십시오.
- SSH를 비표준 고번 포트로 이동하여 자동 스캔의 99%를 제거하십시오.
- fail2ban으로 sshd를 보호하십시오: 3~5회 실패 시 점진적 차단이 발동됩니다.
- AllowUsers/AllowGroups로 SSH를 제한하고 가능하면 방화벽 소스 허용 목록을 적용하십시오.
- 유휴 시간 초과(ClientAliveInterval)를 적용하고 사용하지 않는 포워딩을 비활성화하십시오.
- authorized_keys를 분기별로 감사하고 퇴사한 직원의 키를 즉시 제거하십시오.
- 고가치 서버의 경우 포트 노킹 또는 VPN 전용 SSH를 고려하십시오.
현장 노트
가장 오래 기억에 남는 교훈은 종종 자신의 잠금입니다. 키 전용 인증으로 마이그레이션하는 동안 활성 세션을 유지하고, 아무것도 닫기 전에 두 번째 터미널에서 로그인하십시오.
자주 묻는 질문
키 전용 SSH로 전환하면 잠겨 버릴까요?
단계적으로 수행하면 그렇지 않습니다. 키를 추가하고 키 로그인이 작동하는지 확인한 후 비밀번호를 비활성화하고, 변경 중에는 항상 하나의 활성 세션을 열어 두십시오.
SSH 포트 변경은 은폐를 통한 보안입니까?
일부는 그렇습니다. 하지만 거의 모든 봇 소음을 제거하여 실제 공격 시도가 로그에 묻히지 않고 눈에 띄게 만듭니다.
루트 로그인을 허용해도 됩니까?
콘솔/KVM을 통한 비상 시에만 허용하십시오. 일상적인 루트 SSH는 불필요한 위험입니다.
SSH 2단계 인증은 어떻게 하나요?
키에 TOTP를 추가하는 것은 훌륭한 방법입니다. 워크플로가 허용하는 경우 점프 호스트와 백업 서버에 배포합니다.
리눅스 서버 보안에 대한 Kinetikatech의 지원
저희는 이것을 수백 번 처리했습니다: 클라우드 리눅스, 로키 리눅스 및 cPanel 서버를 멀웨어, 무차별 대입 및 침입으로부터 24시간 연중무휴로 하드닝, 모니터링 및 방어합니다. Linux 서버 보안 및 서버 관리와 함께하면 평가, 구현, 24시간 연중무휴 모니터링, 그리고 중요한 때에 30분 이내 대응이라는 완전한 사이클을 제공합니다.