Linux-serverbeveiliging
SSH-sleutelhardening
SSH is de voordeur van elke Linux-server en de meest met brute force aangevallen dienst op internet. Alleen-sleutel-authenticatie, uitgeschakelde root-login, fail2ban-jails en niet-standaardpoorten elimineren samen vrijwel alle geautomatiseerde SSH-inbraken, terwijl legitieme beheertoegang snel blijft.
Kernpunten
- Zet alle accounts over op ed25519- of RSA-4096-sleutelauthenticatie; schakel wachtwoordauthenticatie volledig uit.
- Zet PermitRootLogin op prohibit-password of no en beheer via sudo-gebruikers.
- Verplaats SSH naar een niet-standaard hoge poort om 99% van de geautomatiseerde scans kwijt te raken.
- Zet sshd in een fail2ban-jail: 3–5 fouten leiden tot escalerende bans.
- Beperk SSH met AllowUsers/AllowGroups plus firewall-source-allowlists waar mogelijk.
- Dwing idle-timeouts af (ClientAliveInterval) en schakel ongebruikte forwarding uit.
- Audit authorized_keys elk kwartaal en verwijder sleutels van vertrokken medewerkers direct.
- Overweeg port-knocking of alleen-VPN-SSH voor waardevolle servers.
Notitie uit de praktijk
De les die meestal blijft hangen is uw eigen buitensluiting: houd één actieve sessie open terwijl u overschakelt op alleen-sleutel-authenticatie en log vers in vanaf een tweede terminal voordat u iets sluit.
Veelgestelde vragen
Sluit ik mezelf buiten bij de overstap naar alleen-sleutel-SSH?
Niet bij een gefaseerde aanpak: voeg sleutels toe, verifieer dat sleutel-login werkt, schakel dan pas wachtwoorden uit en houd tijdens de wijziging altijd één actieve sessie open.
Is het wijzigen van de SSH-poort beveiliging door obscuriteit?
Deels, maar het verwijdert vrijwel alle botruis, waardoor echte aanvalspogingen zichtbaar worden in logs in plaats van te verdrinken.
Mag root-login ooit worden toegestaan?
Alleen via console/KVM in noodgevallen. Dagelijkse root over SSH is onnodig risico.
En tweefactor voor SSH?
TOTP bovenop sleutels is uitstekend voor jump-hosts en backup-servers; wij implementeren het waar de workflow het toelaat.
Hoe Kinetikatech helpt bij linux-serverbeveiliging
Zo zit het: Hardening, monitoring en verdediging van CloudLinux-, Rocky Linux- en cPanel-servers tegen malware, brute force en inbraak — 24/7. Draag het over aan onze dienst Linux-serverbeveiliging en Serverbeheer en het is gedekt: zorgvuldig beoordeeld, netjes geïmplementeerd, dag en nacht bewaakt.