Hold din VPS sikker: hardening, Lynis og en vedligeholdelsesrytme
Med Sikr din VPS: de første fem minutter lægger du grundlaget: opdateringer, login med en nøgle, en firewall og fail2ban. Men en server bliver aldrig færdig. Software forældes, certifikater udløber, og diske løber fulde. Her kan du læse, hvordan du derefter trin for trin lukker din server yderligere af (hardening), hvordan du tjekker den med Lynis, og hvilken vedligeholdelsesrytme der hjælper.
Fire principper
- En lille angrebsflade. Det, der ikke findes, kan ikke lække. Fjern tjenester og pakker, du ikke bruger, og hold kun de porte åbne udefra, som der virkelig er brug for. Se Hvilke tjenester lytter på din VPS, og hvad kan nås udefra?
- Mindste rettigheder. Intet dagligt arbejde som root, tjenester under deres egen bruger, aldrig
chmod 777. Se Læs og indstil filrettigheder korrekt på din VPS. - Lagdelt forsvar. Gå ud fra, at én foranstaltning svigter. En database, der kun lytter på
127.0.0.1, står bag en firewall og har en stærk adgangskode, forbliver sikker, hvis én af de tre fejler. - Se, hvad der sker. Logfiler, overvågning og backups. Uden de tre opdager du først et problem, når det er for sent.
CIS Benchmarks kort fortalt
Center for Internet Security (CIS) udgiver CIS Benchmarks: lister med anbefalede indstillinger pr. produkt, også for Debian og Ubuntu. De er opdelt i Level 1 (grundlæggende foranstaltninger uden mange ulemper, målet for de fleste servere) og Level 2 (strengere, kan koste funktioner eller hastighed). Brug dem som opslagsværk: forstå en anbefaling, før du anvender den, ændr én ting ad gangen, og notér, hvorfor du bevidst undlader noget. Pas på med færdige scripts, der anvender "alt fra CIS" på én gang: med dem lukker du nemt dig selv ude.
Tjek med Lynis
Lynis er et gratis open source-program, der gennemgår din server indefra. Det ændrer ikke selv noget, det rapporterer kun.
sudo apt install lynis sudo lynis audit system
På AlmaLinux og Rocky Linux installerer du det fra EPEL med sudo dnf install lynis. Resultatet læser du sådan:
- Warnings skal du virkelig kigge på, for eksempel pakker med kendte sårbarheder (så venter der opdateringer).
- Suggestions er råd. Mange er nyttige, nogle passer ikke til din server. Et forslag om at slå
AllowTcpForwardingfra ødelægger for eksempel dine SSH-tunneler. Følg dem ikke blindt. - Hver melding har en kode i kantede parenteser, som
[SSH-7408]. Med den kan du søge i/var/log/lynis.logefter, hvad der præcist er testet. - Hardening index (et tal op til 100) er en pejling, ikke en karakter, du skal jagte.
Tag et snapshot, før du ændrer noget på baggrund af Lynis, se Snapshots og backups af din VPS, og vid, hvordan du åbner konsollen, hvis du alligevel lukker dig selv ude.
En vedligeholdelsesrytme
Et eksempel for en lille server. Tilpas det til din egen situation, og sæt tidspunkterne i din kalender.
| Hvornår | Hvad |
|---|---|
| Hver uge | Gennemgå meldinger fra din overvågning; systemctl --failed; genstart, hvis /var/run/reboot-required findes |
| Hver måned | apt list --upgradable (hænger der noget fast?); opdater containere; diskplads; fejl i loggen med journalctl -p err --since "1 month ago" |
| Hvert kvartal | Lav en prøvegendannelse af en backup; gennemgå brugere og authorized_keys; kør Lynis igen |
| Hvert år | Tjek slutdatoen for din version, og planlæg en opgradering; opdater security.txt, hvis du har en; opdater dit serverdossier |
Hjælp til de enkelte dele: Opdateringer og automatiske opdateringer, Overvågning udefra og indefra, Backups med restic til et andet sted, Tilbagekald SSH-adgang til din VPS for en tidligere medarbejder eller en mistet bærbar og Opgrader din VPS til en ny version af Debian eller Ubuntu.
Et serverdossier
Skriv et kort dokument for hver server, og gem det uden for serveren, for eksempel i din adgangskodeadministrator:
- navn, IP-adresser, styresystem og slutdatoen for den version;
- hvad der kører (tjenester, containere, websites), og hvilke porte der er åbne til det;
- hvor backupperne ligger, hvordan du gendanner, og hvornår du sidst har testet det;
- hvilke hemmeligheder der ligger på serveren (ikke selve hemmelighederne, men hvilke og hvor du udskifter dem);
- hvem der har adgang, og hvad du bevidst har gjort anderledes end standarden.
Dossieret hjælper ved en driftsforstyrrelse, ved en opgradering, og når en anden overtager administrationen.
timedatectl, at uret er synkroniseret: med forkert tid er logfiler ubrugelige, og certifikater kan blive betragtet som ugyldige.Din VPS er fuldt selvadministreret: hardening og vedligeholdelse inde på serveren klarer du selv. Vi hjælper med WebOké-delen, som VPS-skærmen, netværket, snapshots og de daglige backups.
Vil du lære mere? Tag det gratis kursus VPS og Linux-serveradministration, lektion 10.1 Hardening og CIS-principper eller lektion 10.4 Sluttjek: gå din server efter i sømmene.