Habib M’henni / Wikimedia Commons, CC BY-SA

I vår tid tar det bara några minuter och några klick att sätta upp en server på ett webbhotell. Men så snart den är igång hamnar den i en fientlig miljö, eftersom den är öppen för hela internet som en oskyldig tjej på en rockklubb. Den kommer snabbt att upptäckas av skannrar och finna tusentals automatiserade skriptbottar som letar efter sårbarheter och felkonfigurationer. Det finns några saker som behöver göras direkt efter lansering för att säkerställa grundläggande skydd.

Innehåll

• Icke-root-användare
• Nycklar istället för SSH-lösenord
• Brandvägg
• Fail2Ban
• Automatiska säkerhetsuppdateringar
• Ändra standardportar

Icke-root-användare

Först och främst bör du skapa en icke-root-användare. Det beror på att användaren root har absoluta privilegier i systemet, och om du tillåter honom distansadministration gör du hälften av jobbet för hackern, och lämnar honom ett giltigt användarnamn.

Därför bör du skapa en annan användare, och för root koppla bort distansadministration via SSH.

Den nya användaren skapas med kommandot useradd:

useradd [options]

Sedan lägger du till ett lösenord med kommandot passwd:

passwd

Slutligen måste du lägga till denna användare i en grupp som har rätt att utföra kommandon med förhöjda privilegier sudo. Beroende på Linux-distributionen kan detta vara olika grupper. Till exempel, i CentOS och Red Hat läggs användaren till gruppen wheel:

usermod -aG wheel

I Ubuntu läggs han till gruppen sudo:

usermod -aG sudo

Nycklar istället för SSH-lösenord

Brute force eller lösenordslekar är en standard angreppsvektor, så autentisering via lösenord i SSH (Secure Shell) bör helst stängas av och istället använda autentisering via nycklar.

Det finns olika program för att implementera SSH-protokollet, som lsh och Dropbear, men den mest populära är OpenSSH. Installation av OpenSSH-klienten på Ubuntu:

sudo apt install openssh-client

Installation på servern:

sudo apt install openssh-server

Starta SSH-demonen (sshd) på servern under Ubuntu:

sudo systemctl start sshd

Automatisk start av demonen vid varje uppstart:

sudo systemctl enable sshd

Det är värt att nämna att serverdelen av OpenSSH inkluderar klientdelen. Det vill säga genom openssh-server Du kan ansluta till andra servrar. Dessutom kan du från din klientmaskin starta en SSH-tunnel från en fjärrserver till en extern värd, och den externa värden kommer då att betrakta den fjärrservern som källan till förfrågningar. En mycket praktisk funktion för att maskera ditt system. Se mer i artikeln Praktiska tips, exempel och SSH-tunnlar.

Det finns vanligtvis ingen anledning att sätta upp en fullständig server på klientmaskinen för att undvika möjligheten till fjärranslutning till datorn (av säkerhetsskäl).

Så för din nya användare behöver du först generera SSH-nycklar på den dator du kommer att ansluta till servern från:

ssh-keygen -t rsa

Den offentliga nyckeln lagras i en fil .*.pub och ser ut som en sträng av slumpmässiga tecken som börjar med ssh-rsa.

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQ3GIJzTX7J6zsCrywcjAM/7Kq3O9ZIvDw2OFOSXAFVqilSFNkHlefm1iMtPeqsIBp2t9cbGUf55xNDULz/bD/4BCV43yZ5lh0cUYuXALg9NI29ui7PEGReXjSpNwUD6ceN/78YOK41KAcecq+SS0bJ4b4amKZIJG3JWm49NWvoo0hdM71sblF956IXY3cRLcTjPlQ84mChKL1X7+D645c7O4Z1N3KtL7l5nVKSG81ejkeZsGFzJFNqvr5DuHdDL5FAudW23me3BDmrM9ifUmt1a00mWci/1qUlaVFft085yvVq7KZbF2OP2NQACUkwfwh+iSTP användarnamn@värdnamn

Sedan, som root, skapa en katalog för SSH i användarens hemkatalog på servern och lägg till den offentliga SSH-nyckeln i filen authorized_keys, med hjälp av en textredigerare som Vim:

mkdir -p /home/user_name/.ssh && touch /home/user_name/.ssh/authorized_keys

vim /home/user_name/.ssh/authorized_keys

Slutligen, ställ in korrekta rättigheter för filen:

chmod 700 /home/user_name/.ssh && chmod 600 /home/user_name/.ssh/authorized_keys

och ändra ägare till denna användare:

chown -R användarnamn:användarnamn /home/användarnamn/.ssh

På klientsidan behöver du ange platsen för den hemliga nyckeln för autentisering:

ssh-add DIR_PATH/keylocation

Nu kan du logga in på servern med användarnamnet via den här nyckeln:

ssh [användarnamn]@värdnamn

Efter autentisering kan du använda kommandot scp för att kopiera filer, verktyget sshfs för att montera fjärrfilsystemet eller kataloger.

Det är klokt att göra flera säkerhetskopior av den privata nyckeln, eftersom, om du stänger av autentisering med lösenord och tappar den, så har du ingen möjlighet att komma åt din egen server.

Som nämnts tidigare bör du inaktivera autentisering för root (av den anledning vi skapade en ny användare).

På CentOS/Red Hat letar vi efter raden PermitRootLogin yes i konfigurationsfilen /etc/ssh/sshd_config och ändrar den:

PermitRootLogin no

På Ubuntu lägger vi till raden PermitRootLogin no i konfigurationsfilen 10-my-sshd-settings.conf:

sudo echo "PermitRootLogin no" >> /etc/ssh/sshd_config.d/10-my-sshd-settings.conf

Efter att ha verifierat att den nya användaren autentiserar med sin nyckel kan vi stänga av autentisering med lösenord för att utesluta risken för läckage eller bruteforce. Nu måste en angripare få tag på den privata nyckeln för att få tillgång till servern.

På CentOS/Red Hat letar vi efter raden PasswordAuthentication yes i konfigurationsfilen /etc/ssh/sshd_config och ändrar den följande sätt:

PasswordAuthentication no

På Ubuntu lägger vi till raden PasswordAuthentication no till filen 10-my-sshd-settings.conf:

sudo echo "PasswordAuthentication no" >> /etc/ssh/sshd_config.d/10-my-sshd-settings.conf

Instruktioner för att ställa in tvåfaktorsautentisering via SSH se. här.

Brandvägg

Brandväggen säkerställer att endast den trafik som du direkt har tillåtit går till servern på de portar du har angett. Det skyddar mot exploatering av portar som av misstag har aktiverats med andra tjänster, vilket kraftigt minskar angreppsytan.

Innan brandväggen installeras måste du se till att SSH är med på undantagslistan och inte blockeras. Annars kan vi inte ansluta till servern efter att brandväggen har körts.

Med distributionspaketet Ubuntu kommer Uncomplicated Firewall (ufw), och med CentOS/Red Hat — firewalld.

Tillåtelse av SSH i brandväggen på Ubuntu:

sudo ufw allow ssh

På CentOS/Red Hat använder vi kommandot firewall-cmd:

sudo firewall-cmd --zone=public --add-service=ssh --permanent

Efter denna procedur kan vi starta brandväggen.

På CentOS/Red Hat startar vi systemd-tjänsten för firewalld:

sudo systemctl start firewalld
sudo systemctl enable firewalld

På Ubuntu använder vi följande kommando:

sudo ufw enable

Fail2Ban

Tjänsten Fail2Ban analyserar loggarna på servern och räknar antalet åtkomstförsök från varje IP-adress. I inställningarna anges regler för hur många åtkomstförsök som tillåts under en viss tidsperiod — efter detta blockeras den angivna IP-adressen under en given tid. Till exempel, tillåter vi 5 misslyckade autentiseringsförsök via SSH under en period på 2 timmar, därefter blockeras denna IP-adress i 12 timmar.

Installation av Fail2Ban på CentOS och Red Hat:

sudo yum install fail2ban

Installation på Ubuntu och Debian:

sudo apt install fail2ban

Starta:

systemctl start fail2ban
systemctl enable fail2ban

Programmet har två konfigurationsfiler: /etc/fail2ban/fail2ban.conf och /etc/fail2ban/jail.conf. Begränsningarna för blockering anges i den andra filen.

Jail för SSH är aktiverad som standard med standardinställningarna (5 försök, intervall på 10 minuter, blockering i 10 minuter).

[DEFAULT]
ignorecommand =
bantime = 10m
findtime = 10m
maxretry = 5

Förutom SSH kan Fail2Ban skydda även andra tjänster på webbservern nginx eller Apache.

Automatiska säkerhetsuppdateringar

Som vi vet, upptäcktes ständigt nya sårbarheter i alla program. Efter publiceringen av informationen läggs exploits till i populära exploit-paket som används av hackers och ungdomar vid skanning av alla servrar i följd. Därför är det mycket viktigt att installera säkerhetsuppdateringar så snart de blir tillgängliga.

På Ubuntu-servern är automatiska säkerhetsuppdateringar aktiverade som standard, så inga ytterligare åtgärder behövs.

På CentOS/Red Hat måste du installera programmet dnf-automatic och aktivera timern:

sudo dnf upgrade
sudo dnf install dnf-automatic -y
sudo systemctl enable --now dnf-automatic.timer

Kontrollera timern:

sudo systemctl status dnf-automatic.timer

Ändra standardportar

SSH utvecklades 1995 för att ersätta telnet (port 23) och ftp (port 21), så programmets skapare Tatu Ylönen valde port 22 som standard, vilket godkändes av IANA.

Naturligtvis är alla angripare medvetna om vilken port SSH kör på – och skannar den tillsammans med andra standardportar för att ta reda på programvaruversionen, för att kontrollera standardroot-lösenord och så vidare.

Att byta standardportar – obfuscation – minskar mängden skräptrafik, loggstorleken och serverbelastningen flera gånger, samt minskar attackytan. Men vissa kritisera denna metod som "skydd genom oklarhet" (security through obscurity). Anledningen är att denna teknik strider mot grundläggande arkitektoniskt skydd.Därför anger till exempel den amerikanska nationella institutet för standarder och teknik i "Server Security Guideline" behovet av en öppen serverarkitektur: "Systemets säkerhet bör inte förlita sig på dolda implementationer av dess komponenter", står det i dokumentet.

Teoretiskt sett strider bytet av standardportar mot praxis för öppen arkitektur. Men i praktiken minskar mängden skadlig trafik verkligen, så det är en enkel och effektiv åtgärd.

Portnumret kan ställas in genom att ändra direktivet Port 22 i konfigurationsfilen. /etc/ssh/sshd_configDet anges också med parametern -p på sshd.SSH-klienten och programmen sftp stöder också parametern -p.

Parameter -p som kan användas för att ange portnumret vid anslutning med kommandot ssh i Linux. I sftp och scp används parametern -P (rubrik P). Kommando-raden overriding any value in configuration files.

Om det finns många servrar, kan nästan alla dessa åtgärder för att skydda Linux-servern automatiseras i ett skript. Men om det bara finns en server är det bättre att manuellt övervaka processen.

I reklamens namn

Beställ och börja arbeta direkt! Skapande av VDS i vilken konfiguration som helst och med vilket operativsystem som helst på under en minut. Den maximala konfigurationen gör att du kan köra fullt ut — 128 kärnor CPU, 512 GB RAM, 4000 GB NVMe. Episk 🙂

Källa: habr.com