Säkerhet för Linux-servrar
Härdning av SSH-nycklar
SSH är ytterdörren in till varje Linux-server och den mest bruteförsökta tjänsten på internet. Enbart nyckelautentisering, avstängd inloggning som root, fail2ban-fängelser och icke-standardportar tar tillsammans bort nästan alla automatiserade SSH-intrång, samtidigt som administratörer med ärende kommer åt snabbt.
Nyckelpunkter
- Byt alla konton till nyckelautentisering med ed25519 eller RSA-4096 och stäng av lösenordsinloggning helt.
- Sätt PermitRootLogin till prohibit-password eller no, och sköt administrationsärenden via sudo-användare.
- Flytta SSH till en hög port som inte är standard, så att du skäller av 99 % av de automatiska skanningarna.
- Lås sshd i en fail2ban-fängelse: 3 till 5 misslyckanden ger spärrtider som stiger i steg.
- Begränsa SSH med AllowUsers och AllowGroups samt brandväggens lista över tillåtna källor där det går.
- Tillämpa tidsgräns för inaktivitet (ClientAliveInterval) och stäng av vidarebefordring som inte används.
- Granska authorized_keys varje kvartal och ta bort nycklar från personal som slutat, direkt.
- Överväg portknackning eller enbart SSH via VPN på servrar med högt värde.
Vanliga frågor
Kan jag låsa ut mig själv när jag ställer om till enbart nycklar?
Inte om du gör det i etapper: lägg till nycklarna, verifiera att nyckellinloggningen fungerar och stäng sedan av lösenorden, alltid med en aktiv session öppen under ändringen.
Är det säkerhet genom dunkelhet att byta SSH-port?
Delvis, men det tar bort nästan allt robotbrus, vilket gör verkliga attackförsök synliga i loggarna i stället för att begravas bland bruset.
Bör inloggning som root någonsin tillåtas?
Bara via konsol eller KVM i nödsituationer. Root över SSH i vardagen är onödig risk.
Hur ser det ut med tvåfaktorsautentisering för SSH?
TOTP ovanpå nycklar är utmärkt för hoppservrar och reservservrar; vi sätter upp det där arbetsflödet tillåter.
Så hjälper Kinetikatech dig med säkerhet för linux-servrar
Här är erbjudandet: Härdning, övervakning och försvar av CloudLinux-, Rocky Linux- och cPanel-servrar mot skadlig kod, bruteförsök och intrång, dygnet runt. Lämna det till vår Linux-serversäkerhet och Serverhantering-tjänst så täcker vi helheten, korrekt bedömt, rent genomfört och övervakat dygnet runt.