ความปลอดภัยเซิร์ฟเวอร์ Linux
การเสริมความปลอดภัยด้วยคีย์ SSH
SSH คือประตูหน้าของเซิร์ฟเวอร์ Linux ทุกเครื่อง และเป็นบริการที่ถูกโจมตีแบบเดารหัสมากที่สุดบนอินเทอร์เน็ต การยืนยันตัวตนด้วยคีย์อย่างเดียว การปิดการเข้าสู่ระบบในสิทธิ์ root การตั้งค่า fail2ban และการย้ายไปพอร์ตที่ไม่ใช่ค่าเริ่มต้น รวมกันแล้วกำจัดการบุกรุก SSH อัตโนมัติได้เกือบทั้งหมด ขณะยังคงความเร็วในการเข้าถึงของผู้ดูแลระบบที่ชอบด้วย
ประเด็นสำคัญ
- เปลี่ยนทุกบัญชีไปใช้การยืนยันตัวตนด้วยคีย์ ed25519 หรือ RSA-4096 และปิดการยืนยันด้วยรหัสผ่านทั้งหมด
- ตั้งค่า PermitRootLogin เป็น prohibit-password หรือ no แล้วบริหารผ่านผู้ใช้ที่มีสิทธิ์ sudo
- ย้าย SSH ไปพอร์ตสูงที่ไม่ใช่ค่าเริ่มต้น เพื่อตัดการสแกนอัตโนมัติไปได้ถึง 99%
- ตั้งค่า fail2ban แบบ jail ให้กับ sshd โดยให้การล้มเหลว 3 ถึง 5 ครั้งเริ่มการแบนแบบไล่ระดับความรุนแรง
- จำกัด SSH ด้วย AllowUsers และ AllowGroups รวมถึงรายการที่อนุญาตตามต้นทางในไฟร์วอลล์เท่าที่ทำได้
- บังคับเวลาหมดเวลาเมื่อไม่มีการใช้งานด้วย ClientAliveInterval และปิดการส่งต่อพอร์ตที่ไม่ได้ใช้
- ตรวจสอบไฟล์ authorized_keys ทุกไตรมาส และลบคีย์ของพนักงานที่ออกจากงานทันที
- พิจารณาใช้การเคาะพอร์ตเป็นสัญญาณหรือให้เข้าผ่าน VPN เท่านั้น สำหรับเซิร์ฟเวอร์ที่มีคุณค่าสูง
คำถามที่พบบ่อย
เปลี่ยนมาใช้คีย์อย่างเดียวแล้วจะถูกล็อกตัวเองออกมาไหม
ไม่ถ้าทำเป็นขั้นตอน เริ่มจากเพิ่มคีย์ ทดสอบว่าเข้าด้วยคีย์ได้จริง แล้วค่อยปิดรหัสผ่าน โดยเปิดหนึ่งเซสชันที่ยังใช้ได้ค้างไว้ตลอดช่วงเปลี่ยนแปลง
การเปลี่ยนพอร์ต SSH ถือเป็นการอาศัยความไม่รู้จักเพื่อความปลอดภัยหรือเปล่า
บางส่วนจริง แต่มันตัดเสียงโหวดจากบอทได้เกือบทั้งหมด ทำให้ความพยายามโจมตีจริงเด่นขึ้นในบันทึก แทนที่จะจมอยู่ในกองมือปน
ควรอนุญาตให้เข้าสู่ระบบในสิทธิ์ root ได้ไหม
เฉพาะผ่านคอนโซลหรือ KVM ในกรณีฉุกเฉินเท่านั้น การใช้ root ผ่าน SSH ในงานประจำวันเป็นความเสี่ยงที่ไม่จำเป็น
ส่วนการยืนยันสองชั้นสำหรับ SSH ล่ะ
TOTP ที่ทำงานร่วมกับคีย์ถือว่าดีมากสำหรับเครื่องกระโดดและเซิร์ฟเวอร์สำรอง เราติดตั้งในจุดที่ขั้นตอนการทำงานรองรับ
Kinetikatech ช่วยเรื่อง ความปลอดภัยเซิร์ฟเวอร์ linux ได้อย่างไร
นี่คือสิ่งที่เราทำทุกวัน: เสริมความปลอดภัย เฝ้าระวัง และป้องกันเซิร์ฟเวอร์ CloudLinux, Rocky Linux และ cPanel จากมัลแวร์ การโจมตีแบบเดารหัส และการบุกรุก ตลอด 24 ชั่วโมง บริการ ความปลอดภัยเซิร์ฟเวอร์ Linuxและการจัดการเซิร์ฟเวอร์ ของเราดูแลครบวงจร ตั้งแต่ประเมิน ลงมือทำ ติดตาม 24 ชั่วโมง ไปจนถึงรับเรื่องฉุกเฉินภายใน 30 นาที