5 простых советов по защите вашего Linux-сервера

ssh root@insecure.server.ip.address

sudo nano /etc/ssh/sshd_config

sudo systemctl restart ssh

ssh-keygen

ssh-copy-id ramces@my.server.ip.address

ssh ramces@my.server.ip.address

Также можно дополнительно защитить ваш Linux-сервер, удалив запрос на вход в SSH. Откройте файл конфигурации вашего демона с помощью следующей команды:

sudo nano /etc/ssh/sshd_config

Найдите переменную PasswordAuthenticationи измените ее значение с «да» на «нет».

Перезагрузите демон SSH, выполнив следующую команду:

sudo systemctl restart sshd

3. Укрепите брандмауэр вашего Linux-сервера

Помимо ограничения доступа по SSH, вы также можете повысить безопасность своего Linux-сервера на настройка брандмауэра . По умолчанию новый компьютер с Linux будет принимать все входящие соединения с любого порта.

Это может быть проблемой, поскольку делает ваш сервер уязвимым для атаки сканирования портов. Например, злоумышленник может просканировать ваш компьютер на наличие незащищенных портов и использовать это для поиска подходящего эксплойта.

Один из способов исправить это — установить ufw, простой клиент брандмауэра, который может контролировать порты и адреса, доступные внешнему миру.

Выполните следующую команду, чтобы установить ufw в Ubuntu:

sudo apt install ufw

Установите правила по умолчанию для ufw. Это политики, которым ваш брандмауэр будет следовать для любого порта, который вы не настраиваете. Рекомендуется убедиться, что вы блокируете все входящие соединения:

sudo ufw default deny incoming
sudo ufw default allow outgoing

Настройте брандмауэр для служб, которые вы хотите запускать на своем компьютере. Например, выполнение следующих команд позволит вам войти в систему через SSH и разместить веб-сервер:

sudo ufw allow 22
sudo ufw allow 80
sudo ufw allow 443

Наконец, вам необходимо активировать новую конфигурацию брандмауэра, запустив sudo ufw enable. Кроме того, вы можете проверить, подключен ли ваш брандмауэр к сети, выполнив эту команду:

sudo ufw status

3. Укрепите брандмауэр вашего Linux-сервератус Ufw">

4. Создайте нового пользователя для каждой службы

По умолчанию каждый файл и программа в системе Linux принадлежит определенному пользователю и группе. Чтобы изменить систему, вам необходимо иметь соответствующие разрешения для нужных папок.

Один из способов повысить безопасность вашего сервера Linux — создавать новую учетную запись пользователя для каждой новой службы. Такой подход позволяет вам ограничить привилегии каждой службы отдельной учетной записью пользователя.

Для этого выполните следующие команды:

sudo useradd -s /bin/bash -d /home/new-service -m -G sudo new-service
sudo passwd new-service

• Флаг -sустанавливает системную оболочку для новой учетной записи пользователя. В моем случае моя новая учетная запись использует в качестве оболочки Bash.
• Флаги -dи -mустанавливают каталог пользователя по умолчанию для новой учетной записи.
• Флаг -G, с другой стороны, добавляет новую учетную запись в любые указанные вами дополнительные группы. Например, добавление новой учетной записи в группу sudo позволит ей выполнять команды суперпользователя.
• Команда passwdпозволяет установить новый пароль для новой учетной записи пользователя.

После этого вы можете использовать свою новую учетную запись пользователя, выйдя из текущей учетной записи или запустив su new-service.

5. Укрепите ядро ​​вашего сервера

Ядро — одна из наиболее важных частей системы Linux и связующее звено, связывающее аппаратное обеспечение вашего компьютера с вашим программным обеспечением. Например, компиляция собственного ядра Linux позволяет включить поддержку экзотического оборудования и функций.

Кроме того, ядро ​​также служит корневым процессом операционной системы. Защита ядра — одна из наиболее важных частей защиты вашего сервера Linux.

Один из самых быстрых способов защитить ваше ядро ​​— через sysctl. Это встроенная утилита, позволяющая настраивать параметры времени выполнения ядра Linux.

Однако важно отметить, что sysctlне будет охватывать весь процесс усиления безопасности ядра, поскольку защита ядра во многом будет зависеть от того, что вам от него нужно.

Зная это, вы можете выполнить следующие команды, чтобы ядро ​​не сообщало какую-либо диагностическую информацию:

sudo sysctl kernel.kptr_restrict=2
sudo sysctl kernel.dmesg_restrict=1
sudo sysctl kernel.kexec_load_disabled=1

4. Создайте нового пользователя для каждой службы сервера Ubuntu: 22 настройки ядра Sysctl">

Вы также можете запустить следующие команды, чтобы указать ядру отбрасывать любые ложные запросы на подключение к вашему серверу:

sudo sysctl net.ipv4.tcp_syncookies=1
sudo sysctl net.ipv4.tcp_rfc1337=1

Эти команды, с другой стороны, заставят ядро ​​проверять каждое входящее соединение с машиной:

sudo sysctl net.ipv4.conf.all.rp_filter=1
sudo sysctl net.ipv4.conf.default.rp_filter=1

Наконец, следующий набор команд предотвратит перенаправление любого входящего соединения на другой шлюз. Это предотвратит попадание вашей машины в результате атаки «человек посередине».

sudo sysctl net.ipv4.conf.all.accept_redirects=0
sudo sysctl net.ipv4.conf.default.accept_redirects=0
sudo sysctl net.ipv4.conf.all.secure_redirects=0
sudo sysctl net.ipv4.conf.default.secure_redirects=0
sudo sysctl net.ipv6.conf.all.accept_redirects=0
sudo sysctl net.ipv6.conf.default.accept_redirects=0
sudo sysctl net.ipv4.conf.all.send_redirects=0
sudo sysctl net.ipv4.conf.default.send_redirects=0

Советы : помимо приведенных выше советов, вы также можете воспользоваться эти инструменты с открытым исходным кодом для защиты вашего сервера Linux .

Часто задаваемые вопросы

Автор изображения: Unsplash . Все изменения и скриншоты Рамсеса Реда.

Часто задаваемые вопросы

Я потерял свой локальный компьютер. Можно ли еще войти на мой сервер Ubuntu через SSH?

Можно ли удалить права суперпользователя, которые я создал?