Habib M’henni / Wikimedia Commons, CC BY-SA

Tänapäeval serveri tõstmine hostimisel võtab vaid paar minutit ja mõned hiireklõpsud. Kuid kohe pärast käivitamist satub see vaenulikku keskkonda, kuna see on avatud kogu internetile nagu süütu tüdruk rokkdiskol. Kõik skannerid avastavad selle kiiresti ning tuhanded automaatsed botid, mis otsivad haavatavusi ja valesid konfiguratsioone, rändavad ringi. Pärast käivitamist on mitu asja, mida tuleb kohe teha, et tagada põhikaitse.

Sisu

• Kasutaja ilma juurõiguseta
• SSH pääsukoodid, mitte paroolid
• Tulekahjusild
• Fail2Ban
• Automaatne turvauuendamine
• Vaikimisi portide muutmine

Kasutaja ilma juurõiguseta

Esimene samm on luua endale kasutaja ilma juurõiguseta. Probleem on selles, et kasutajal root on süsteemis täielikud õigused, ja kui lubate tal kaugtööd, siis teete pool tööst häkkeri jaoks, jättes talle kehtiva kasutajanime.

Seetõttu tuleb luua teine kasutaja ja keelata juuril SSH kaudu kaugtöö tegemine.

Uue kasutaja loomine käib käsuga useradd:

useradd [options]

Seejärel lisatakse selle jaoks parool käsuga passwd:

passwd

Lõpuks tuleb see kasutaja lisada gruppi, mis omab õigust sooritada tõstetud õigustega käske sudo. Sõltuvalt Linuxi distributiivist võivad need olla erinevad grupid. Näiteks CentOSis ja Red Hat'is lisatakse kasutaja gruppi wheel:

usermod -aG wheel

Ubuntu puhul lisatakse ta gruppi sudo:

usermod -aG sudo

SSH pääsukoodid, mitte paroolid

Bruteforce või paroolide lekkeid on tavaline rünnaku vektor, seega on parem keelata parooliautentimine SSH-s (Secure Shell) ning kasutada selle asemel võtmeautentimist.

SSH protokolli rakendamiseks on erinevaid programme, näiteks lsh ja Dropbear, kuid kõige populaarsem on OpenSSH. OpenSSH kliendi installimine Ubuntule:

sudo apt install openssh-client

Installimine serverisse:

sudo apt install openssh-server

SSH deemon (sshd) käivitamine serveris Ubuntul:

sudo systemctl start sshd

Deemoni automaatne käivitamine igal laadimisel:

sudo systemctl enable sshd

Tuleb märkida, et OpenSSH serveri osa sisaldab ka kliendi osa. See tähendab, et läbi openssh-server Saate ühendada teistele serveritele. Veelgi enam, oma klienditerminalist saate käivitada SSH-tunneli kaugsserverist kolmandasse hosti, ja siis kolmas host peab kaugsserverit päringute allikaks. See on väga mugav funktsioon oma süsteemi maskeerimiseks. Lisainfot vaadake artiklist „Praktilised nõuanded, näited ja SSH-tunnelid“.

Klienditerminalis pole tavaliselt mõtet paigaldada täieõiguslikku serverit, et vältida arvuti kaugühenduse võimalust (turvakaalutlustel).

Nii et oma uue kasutaja jaoks tuleb kõigepealt genereerida SSH-võtmed arvutis, mille kaudu sisenete serverisse:

ssh-keygen -t rsa

Avalik võti salvestatakse faili .pub ja näeb välja kui juhuslike märkide jada, mis algab ssh-rsa.

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQ3GIJzTX7J6zsCrywcjAM/7Kq3O9ZIvDw2OFOSXAFVqilSFNkHlefm1iMtPeqsIBp2t9cbGUf55xNDULz/bD/4BCV43yZ5lh0cUYuXALg9NI29ui7PEGReXjSpNwUD6ceN/78YOK41KAcecq+SS0bJ4b4amKZIJG3JWm49NWvoo0hdM71sblF956IXY3cRLcTjPlQ84mChKL1X7+D645c7O4Z1N3KtL7l5nVKSG81ejkeZsGFzJFNqvr5DuHdDL5FAudW23me3BDmrM9ifUmt1a00mWci/1qUlaVFft085yvVq7KZbF2OP2NQACUkwfwh+iSTP username@hostname

Siis root-kasutajana looge serveris oma kodukatalooge SSH-i direktorium ja lisage avalik SSH-võti faili authorized_keys, kasutades tekstitöötlusprogrammi nagu Vim:

mkdir -p /home/user_name/.ssh && touch /home/user_name/.ssh/authorized_keys

vim /home/user_name/.ssh/authorized_keys

Lõpuks seadke faili õigused õigeks:

chmod 700 /home/user_name/.ssh && chmod 600 /home/user_name/.ssh/authorized_keys

ja muutke selle omaniku:

chown -R username:username /home/username/.ssh

Kliendi poolel tuleb määrata salajase võtme asukoht autentimise jaoks:

ssh-add DIR_PATH/keylocation

Nüüd saab sisse logida serverisse kasutaja nimega selle võtmega:

ssh [username]@hostname

Pärast autentimist saab kasutada käsku scp failide kopeerimiseks, utiliiti sshfs kaugfailisüsteemi või kaustade mountimiseks.

Soovitav on teha mitu varukoopiat privaatvõtme jaoks, kuna kui katkestate parooliga autentimise ja kaotate selle, ei jää teile üldse mingit võimalust oma serverisse siseneda.

Kuidas mainitud, tuleb SSH-s keelata root’ile autentimine (seetõttu me uus kasutaja loome).

CentOS/Red Hat’is leiame rea PermitRootLogin yes konfiguratsioonifailist /etc/ssh/sshd_config ja muudame selle:

PermitRootLogin no

Ubuntu’s lisame rea PermitRootLogin no konfiguratsioonifaili 10-my-sshd-settings.conf:

sudo echo "PermitRootLogin no" >> /etc/ssh/sshd_config.d/10-my-sshd-settings.conf

Järgmiseks, pärast kontrollimist, et uus kasutaja läbib autentimise oma võtme kaudu, saab parooli autentimise välja lülitada, et vältida selle lekkimist või bruteforce'it. Nüüd peab ründaja serverisse sisenemiseks hankima privaatvõtme.

CentOS/Red Hat’is leiame rea PasswordAuthentication yes konfiguratsioonifailist /etc/ssh/sshd_config ja muuda seda järgmiselt:

PasswordAuthentication no

Ubuntu’s lisame rea PasswordAuthentication no faili 10-my-sshd-settings.conf:

sudo echo "PasswordAuthentication no" >> /etc/ssh/sshd_config.d/10-my-sshd-settings.conf

Kaksifaktorilise autentimise seadistamise juhend SSH kaudu vt. siit.

Tulekahjusild

Tulekahju põhi tõutab, et serverisse pääseb ainult liiklus, mis on lubatud nende portide kaudu, mille olete otse lubanud. See kaitseb sadamate ekspluateerimise eest, mis võivad olla kogemata aktiivsed koos teiste teenustega, st kärbib ründe pinda oluliselt.

Enne tulemüüri installimist peate veenduma, et SSH on välja jäetud ja et see ei blokeeri. Vastasel juhul ei saa me tulemüüri käivitamisel serverisse ühendust.

Ubuntu jaotisega kaasneb Uncomplicated Firewall (ufw), ja CentOS/Red Hatiga — firewalld.

SSH lubamine tulemüüri kaudu Ubuntu-s:

sudo ufw allow ssh

CentOS/Red Hat jaoks kasutame käsku firewall-cmd:

sudo firewall-cmd --zone=public --add-service=ssh --permanent

Pärast seda protseduuri saab tulemüüri käivitada.

CentOS/Red Hat süsteemis käivitame firewalld teenuse systemd jaoks:

sudo systemctl start firewalld
sudo systemctl enable firewalld

Ubuntu puhul kasutame järgmist käsku:

sudo ufw enable

Fail2Ban

Teenuse Fail2Ban analüüsib serveri logisid ja loendab iga IP-aadressiga juurdepääsu katsete arvu. Seadistustes on määratud reeglid, kui palju juurdepääsu katseid on teatud ajavahemikus lubatud — pärast seda blokeeritakse antud IP-aadress kindlaksmääratud ajaks. Näiteks lubame 5 ebaõnnestunud SSH autentimiskatset kahe tunni jooksul, pärast mida blokeerime antud IP-aadressi 12 tunniks.

Fail2Ban'i installimine CentOS ja Red Hat:

sudo yum install fail2ban

Installimine Ubuntu ja Debian:

sudo apt install fail2ban

Käivitamine:

systemctl start fail2ban
systemctl enable fail2ban

Programmis on kaks konfiguratsioonifaili: /etc/fail2ban/fail2ban.conf ja /etc/fail2ban/jail.conf. Blokeerimise piirangud on määratud teises failis.

SSH jaoks on konfigureeritud default-jail (5 katset, intervall 10 minutit, keelamine 10 minutiks).

[DEFAULT]
ignorecommand =
bantime = 10m
findtime = 10m
maxretry = 5

Lisaks SSH-le võib Fail2Ban kaitsta ka teisi teenuseid veebiserveris nginx või Apache.

Automaatne turvauuendamine

Nagu teada, avastatakse kõigis programmides pidevalt uusi haavatavusi. Pärast teabe avaldamist lisatakse eksploidid populaarsetesse eksploitpakettidesse, mida häkkerid ja noored massiliselt kasutavad, skaneerides järjest kõiki servereid. Seetõttu on väga oluline installida turvapaigad kohe, kui need ilmuvad.

Ubuntu serveris on vaikeseadistuses lubatud automaatne turvauuendus, seega ei ole täiendavaid samme vaja.

CentOS\/Red Hat puhul tuleb installida rakendus dnf-automatic ja aktiveerida ajastaja:

sudo dnf upgrade
sudo dnf install dnf-automatic -y
sudo systemctl enable --now dnf-automatic.timer

Ajastaja kontrollimine:

sudo systemctl status dnf-automatic.timer

Vaikimisi portide muutmine

SSH loodi 1995. aastal telneti (port 23) ja ftp (port 21) asendamiseks, seega valis programmi autor Tatu Iltonen vaikimisi port 22, ja see kinnitati IANA-s.

Loomulikult on kõik kurjategijad teadlikud, millisel pordil SSH töötab — ja nad skaneerivad seda koos teiste standardsete pordidega, et teada saada tarkvara versioon, kontrollida standardseid root-parolle ja nii edasi.

Tavaportsra muutmine — obfuskatsioon — vähendab oluliselt rämpsliiklust, logifailide suurust ja serveri koormust, samuti ründepinda. Kuigi mõned kritiseerivad sellist meetodit "varjatud kaitse" (security through obscurity). Põhjus on see, et see tehnika on vastandatud fundamentaalsele arhitektuurilisele kaitsele. Seetõttu näiteks USA Rahvuslik Standardite ja Tehnoloogia Instituut "Serveri turvajuht" toob välja vajaduse avatud serveri arhitektuuri: "Süsteemi turvalisus ei tohiks toetuda komponentide teostuse varjule," öeldakse dokumendis.

Teoreetiliselt on vaikimisi portide muutmine vastuolus avatud arhitektuuri praktikaga. Kuid praktikas kahjurliikluse maht tõepoolest kahaneb, nii et see on lihtne ja tõhus meede.

Porti numbrit saab seadistada, muutes direktiivi Port 22 konfiguratsioonifailis. /etc/ssh/sshd_configSamuti määratakse see parameetriga -p ühes sshd. SSH klient ja programmid sftp toetavad samuti parameetrit -p.

Parameeter -p võib kasutada porti numbri määramiseks ühenduse loomisel käsuga ssh Linuxis. Fail sftp ja scp kasutatakse parameetrit -P (suurtäht P). Käskluse rida üle kirjutab kõik väärtused konfiguratsioonifailides.

Kui servereid on palju, saab enamik Linux-serveri kaitsetegevusi automatiseerida skriptis. Kuid kui server on ainult üks, on parem protsessi käsitsi kontrollida.

Reklaami õigustes

Tellige ja alustage kohe tööd! VDS loomine ükskõik millise konfiguratsiooni ja igasuguse operatsioonisüsteemiga ühe minutiga. Maksimaalne konfiguratsioon võimaldab kaotada end täielikult — 128 CPU tuuma, 512 GB RAM, 4000 GB NVMe. Epic 🙂

Allikas: habr.com