Habib M’henni / Wikimedia Commons, CC BY-SA

Tänapäeval on serveri käitamine hostingus vaid paari minuti ja mõne hiirekliki asi. Kuid kohe pärast käivitamist satub ta vaenulikku keskkonda, kuna on avatud kogu internetile nagu süütu tüdruk rokidiskol. Skanneerijad leiavad ta kiiresti ning avastavad tuhandeid automaatseid skriptibote, kes otsivad internetis haavatavusi ja vale konfiguratsioone. On mitmeid asju, mida tuleks kohe pärast käivitamist teha, et tagada põhiline kaitse.

Sisukord

• Nerootkasutaja
• SSH võtmed paroolide asemel
• Tulemüür
• Fail2Ban
• Automaatne turvauuendamine
• Vaikimisi portsade muutmine

Nerootkasutaja

Esiteks tuleb endale luua nerootkasutaja. Asi nimelt on selles, et kasutajal on root absoluutsed õigused süsteemis, ja kui lubate tal kaughaldust, siis teete poole töö lükkamiseks häkkerile, jättes talle kehtiva kasutajanime.

Seetõttu tuleb luua teine kasutaja, ning root-kasutaja kaugjuhtimine SSH kaudu tuleb keelata.

Uus kasutaja luuakse käsuga useradd:

useradd [options]

Seejärel lisatakse talle parool käsuga passwd:

passwd

Lõpuks tuleb see kasutaja lisada gruppi, millel on õigused käivitada käsklusi kõrgendatud õigustega. sudoSõltuvalt Linuxi jaotise versioonist võivad need olla erinevad grupid. Näiteks CentOS-is ja Red Hat'is lisatakse kasutaja gruppi wheel:

usermod -aG wheel

Ubuntu-s lisatakse ta gruppi sudo:

usermod -aG sudo

SSH võtmed paroolide asemel

Bruteforce või paroolide lekkimine on standardne rünnaku vektor, seega on parem SSH (Secure Shell) paroolide autentimine välja lülitada ja selle asemel kasutada võtmeautentimist.

SSH protokolli rakendamiseks on erinevad programmid, näiteks lsh ja Dropbear, kuid kõige populaarsem on OpenSSH. OpenSSH kliendi installimine Ubuntu-s:

sudo apt install openssh-client

Installimine serveris:

sudo apt install openssh-server

SSH daemon (sshd) käivitamine serveris Ubuntu-s:

sudo systemctl start sshd

Demony automaatne käivitus igal käivitamisel:

sudo systemctl enable sshd

Pöörake tähelepanu, et OpenSSH serveriklient sisaldab ka kliendi osa. See tähendab, et läbi openssh-server saate ühendada teiste serveritega. Pealegi võite oma kliendimasinast käivitada SSH-tunneli eemalolevast serverist kolmanda osapoole hosti, ja siis kolmanda osapoole host peab eemalolevat serverit päringute allikaks. Väga mugav funktsioon oma süsteemi maskeerimiseks. Täiendavaid üksikasju leiate artiklist «Praktilised näpunäited, näited ja SSH-tunnelid».

Kliendimasinas ei ole tavaliselt mõtet paigaldada täisfunktsionaalset serverit, et vältida eemalseisva arvuti kaugühenduse võimalust (turvalisuse kaalutlustel).

Seega peate uue kasutaja jaoks kõigepealt genereerima SSH-võtmed arvutis, millega serverisse sisenete:

ssh-keygen -t rsa

Avalik võti salvestatakse faili .pub ja näeb välja nagu juhuslike sümbolite string, mis algab ssh-rsa.

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQ3GIJzTX7J6zsCrywcjAM/7Kq3O9ZIvDw2OFOSXAFVqilSFNkHlefm1iMtPeqsIBp2t9cbGUf55xNDULz/bD/4BCV43yZ5lh0cUYuXALg9NI29ui7PEGReXjSpNwUD6ceN/78YOK41KAcecq+SS0bJ4b4amKZIJG3JWm49NWvoo0hdM71sblF956IXY3cRLcTjPlQ84mChKL1X7+D645c7O4Z1N3KtL7l5nVKSG81ejkeZsGFzJFNqvr5DuHdDL5FAudW23me3BDmrM9ifUmt1a00mWci/1qUlaVFft085yvVq7KZbF2OP2NQACUkwfwh+iSTP username@hostname

Seejärel peate root-kasutaja alt serveris looma SSH-kausta kasutaja kodukatalooge ja lisama avaliku SSH-võti faili authorized_keys, kasutades tekstiredaktorit nagu Vim:

mkdir -p /home/user_name/.ssh && touch /home/user_name/.ssh/authorized_keys

vim /home/user_name/.ssh/authorized_keys

Lõpuks peate seadistama faili õigused:

chmod 700 /home/user_name/.ssh && chmod 600 /home/user_name/.ssh/authorized_keys

ja muutma omaniku selle kasutaja jaoks:

chown -R username:username /home/username/.ssh

Kliendi poolel tuleb määrata salajase võtme asukoht autentimiseks:

ssh-add DIR_PATH/keylocation

Nüüd saate sisse logida serverisse selle võtme abil kasutajanime järgi:

ssh [username]@hostname

Autentimise järel saate faile kopeerimiseks kasutada scp käsku, utiliiti sshfs kaugfailisüsteemi või kataloogide mountimiseks.

Soovitatav on teha mitu varukoopiat privaatvõtme kohta, kuna kui keelata parooliga autentimine ja see kaotada, ei jää teil enam üldse mingit võimalust oma serverisse siseneda.

Nagu eelnevalt mainitud, tuleb SSH-is keelata root-kasutaja autentimine (seetõttu lõimegi uue kasutaja).

CentOS/red Hat'is leidke konfiguratsioonifailist rida PermitRootLogin yes ja muutke seda: /etc/ssh/sshd_config PermitRootLogin no

Ubuntu-s lisage rida

konfiguratsioonifaili Ubuntu-s lisage rida 10-my-sshd-settings.conf 10-my-sshd-settings.conf:

sudo echo "PermitRootLogin no" >> /etc/ssh/sshd_config.d/10-my-sshd-settings.conf

Pärast kontrollimist, et uus kasutaja autentib end oma võtmega, saab parooli autentimise välja lülitada, et vähendada selle ärakasutamise või bruteforce'i riski. Nüüd peab küberkurjategija serverisse sisenemiseks saama eravõtme.

CentOS/red Hat'is leidke konfiguratsioonifailist rida , salvestada muudatused ja taaskäivitada Ubuntu20.04. ja muutke seda: /etc/ssh/sshd_config ja muudame seda järgmiselt:

tuleb seada väärtusele

konfiguratsioonifaili tuleb seada väärtusele faili 10-my-sshd-settings.conf:

sudo echo "PasswordAuthentication no" >> /etc/ssh/sshd_config.d/10-my-sshd-settings.conf

Juhend kahefaasilise autentimise seadistamiseks SSH kaudu vt. siin.

Tulemüür

Tulekahju sein tagab, et serverisse pääseb ainult see liiklus, mis on nende portide kaudu, mida te olete otseselt lubanud. See kaitseb sadamate ärakasutamise eest, mis võivad olla kogemata aktiveeritud teiste teenustega, seega vähendab see rünnaku pinda.

Enne tulekahju seina paigaldamist tuleb veenduda, et SSH on erandite nimekirjas ja ei blokeerita. Muul juhul ei saa me pärast tulekahju seina käivitamist serverisse sisse logida.

Ubuntu versiooniga kaasneb Uncomplicated Firewall (ufw), ja CentOS/Red Hati puhul — firewalld.

SSH lubamine Ubuntu tulekahju seinal:

sudo ufw allow ssh

CentOS/Red Hat'is kasutame käsku firewall-cmd:

sudo firewall-cmd --zone=public --add-service=ssh --permanent

Pärast seda protseduuri saab tulekahju seina käivitada.

CentOS/Red Hat'is käivitame firewalld teenuse systemd kaudu:

sudo systemctl start firewalld
sudo systemctl enable firewalld

Ubuntu's kasutame sellist käsku:

sudo ufw enable

Fail2Ban

Teenuseid Fail2Ban analüüsib serveri logisid ja loendab igast IP-aadressist pärit sisenemiskatseid. Seadetesse on määratud reeglid, kui palju sisenemiskatseid on lubatud teatud ajavahemiku jooksul — pärast seda blokeeritakse see IP-aadress määratud ajaks. Näiteks lubame 5 ebaõnnestunud sisenemiskatse SSH kaudu 2 tunni jooksul, pärast mida blokeerime selle IP-aadressi 12 tunniks.

Fail2Ban'i paigaldamine CentOS ja Red Hati jaoks:

sudo yum install fail2ban

Paigaldamine Ubuntu ja Debianile:

sudo apt install fail2ban

Pärast seda

systemctl start fail2ban
systemctl enable fail2ban

Programmal on kaks konfiguratsioonifaili: /etc/fail2ban/fail2ban.conf ja /etc/fail2ban/jail.conf. Blokeerimise piirangud määratakse teises failis.

SSH jaoks on jail vaikimisi lubatud vaike seadistustega (5 katset, intervall 10 minutit, ban 10 minutiks).

[DEFAULT]
ignorecommand =
bantime = 10m
findtime = 10m
maxretry = 5

Lisaks SSH-le võib Fail2Ban kaitsta ka teisi teenuseid veebiserveris nginx või Apache.

Automaatne turvauuendamine

Nagu teada, avastatakse kõigis programmides pidevalt uusi haavatavusi. Pärast teabe avaldamist lisatakse exploite populaarsetesse exploite-pakettidesse, mida kasutavad laialdaselt häkkerid ja noored, skannides kõiki servereid järjestikku. Seetõttu on väga oluline installida turvauuendused kohe, kui need ilmuvad.

Ubuntu serveris on vaikeseadistuses sisse lülitatud automaatsed turvauuendused, seega täiendavaid toiminguid ei ole vaja.

CentOSi/Red Hati peetakse vajalikuks rakenduse dnf-automatic installimine ja ajastuse lubamine:

sudo dnf upgrade
sudo dnf install dnf-automatic -y
sudo systemctl enable --now dnf-automatic.timer

Ajastuse kontrollimine:

sudo systemctl status dnf-automatic.timer

Vaikimisi portsade muutmine

SSH väljatöötamine toimus 1995. aastal telneti (port 23) ja ftp (port 21) asendamiseks, seega valis programmi autor Tatu Aaltonen vaikimisi porti 22, ja see kinnitati IANA-s.

Loomulikult on kõik kurjategijad teadlikud, millisel pordil SSH töötab — ja nad skannivad seda koos teiste standardportidega, et määrata tarkvara versioon, kontrollida häälestusparooli ja nii edasi.

Standardportide muutmine — obfuskeerimine — vähendab mitmeid kordi prügiliiklust, logifailide suurust ja serveri koormust ning vähendab ka rünnakupinda. Kuigi mõned kriitika seda meetodit nimetavad "ebaselgeks kaitseks" (security through obscurity). Põhjus on selles, et see tehnika on vastuolus fundamentaalse arhitektuurilise kaitsega.Seetõttu ütleb näiteks USA Riiklik Standardite ja Tehnoloogia Instituut mu „Serveri turvajuht”, et avatud serveri arhitektuur on vajalik: „Süsteemi turvalisus ei tohi tugineda selle komponentide rakendamise varjatud olemusele,” on öeldud dokumendis.

Teoreetiliselt on vaikimisi portide muutmine vastuolus avatud arhitektuuri praktikaga. Kuid praktikas väheneb tõeliselt pahatahtliku liikluse maht, seega on see lihtne ja tõhus meetod.

Pordi numbrit saab seadistada, muutes direktiivi Port 22 config-failis. /etc/ssh/sshd_configSamuti on see määratud parameetrina -p ja sshd. SSH klient ja programmid sftp toetavad samuti seda parameetrit -p.

Parameeter -p mis võimaldab pordi numbri määramise ühenduses käsuga ssh Linuxis. Programmis sftp ja scp kasutatakse parameetrit -P (pealkiri P). Käsurea näitamine ületab kõik väärtused konfiguratsioonifailides.

Kui servereid on palju, saab enamik neist Linux-serveri kaitsemeetmetest automatiseerida skripti abil. Kuid kui server on ainult üks, siis on parem protsessi käsitsi kontrollida.

Reklaami õigustes

Tellige ja hakake kohe tööle! VDS-i loomine mis tahes konfiguratsiooni ja mis tahes operatsioonisüsteemiga ühe minutiga. Maksimaalne konfiguratsioon võimaldab suurt vabadust — 128 protsessorituuma, 512 GB RAM-i, 4000 GB NVMe. Eepiline 🙂

Allikas: habr.com