Je VPS veilig houden: hardening, Lynis en een onderhoudsritme
Met Je VPS beveiligen: de eerste vijf minuten zet je de basis neer: updates, inloggen met een sleutel, een firewall en fail2ban. Maar een server is nooit af. Software veroudert, certificaten lopen af en schijven lopen vol. Hier lees je hoe je je server daarna stap voor stap verder dichtzet (hardening), hoe je hem controleert met Lynis, en welk onderhoudsritme helpt.
Vier principes
- Een klein aanvalsoppervlak. Wat er niet is, kan niet lekken. Verwijder diensten en pakketten die je niet gebruikt, en houd van buiten alleen de poorten open die echt nodig zijn. Zie Welke diensten luisteren er op je VPS, en wat is van buitenaf bereikbaar?
- Minimale rechten. Geen dagelijks werk als root, diensten onder een eigen gebruiker, nooit
chmod 777. Zie Bestandsrechten op je VPS lezen en goed zetten. - Gelaagde verdediging. Ga ervan uit dat één maatregel faalt. Een database die alleen op
127.0.0.1luistert, achter een firewall staat en een sterk wachtwoord heeft, blijft veilig als één van die drie uitvalt. - Zien wat er gebeurt. Logboeken, bewaking en back-ups. Zonder die drie merk je een probleem pas als het te laat is.
De CIS Benchmarks in het kort
Het Center for Internet Security (CIS) maakt de CIS Benchmarks: lijsten met aanbevolen instellingen per product, ook voor Debian en Ubuntu. Ze zijn verdeeld in Level 1 (basismaatregelen zonder veel nadelen, voor de meeste servers het doel) en Level 2 (strenger, kan functies of snelheid kosten). Gebruik ze als naslag: begrijp een aanbeveling voordat je hem toepast, verander één ding tegelijk en noteer waarom je iets bewust niet doet. Pas op met kant-en-klare scripts die "alles van CIS" in één keer toepassen: daarmee sluit je jezelf makkelijk buiten.
Controleren met Lynis
Lynis is een gratis open-sourceprogramma dat je server van binnenuit nakijkt. Het verandert zelf niets, het rapporteert alleen.
sudo apt install lynis sudo lynis audit system
Op AlmaLinux en Rocky Linux installeer je het uit EPEL met sudo dnf install lynis. De uitslag lees je zo:
- Warnings moet je echt bekijken, bijvoorbeeld pakketten met bekende lekken (dan staan er updates open).
- Suggestions zijn adviezen. Veel zijn nuttig, sommige passen niet bij jouw server. Een suggestie om
AllowTcpForwardinguit te zetten breekt bijvoorbeeld je SSH-tunnels. Volg ze niet blind. - Elke melding heeft een code tussen haken, zoals
[SSH-7408]. Daarmee zoek je in/var/log/lynis.logwat er precies is getest. - De hardening index (een getal tot 100) is een richtingwijzer, geen cijfer om na te jagen.
Maak een snapshot voordat je naar aanleiding van Lynis iets verandert, zie Snapshots en backups van je VPS, en weet hoe je de console opent als je jezelf toch buitensluit.
Een onderhoudsritme
Een voorbeeld voor een kleine server. Pas het aan je eigen situatie aan en zet de momenten in je agenda.
| Wanneer | Wat |
|---|---|
| Elke week | Meldingen van je bewaking nalopen; systemctl --failed; herstarten als /var/run/reboot-required bestaat |
| Elke maand | apt list --upgradable (blijft er iets hangen?); containers bijwerken; schijfruimte; fouten in het logboek met journalctl -p err --since "1 month ago" |
| Elk kwartaal | Een back-up proef terugzetten; gebruikers en authorized_keys nalopen; Lynis opnieuw draaien |
| Elk jaar | De einddatum van je versie bekijken en een upgrade plannen; security.txt bijwerken als je die hebt; je serverdossier bijwerken |
Hulp bij de onderdelen: Updates en automatische updates, Monitoring van buiten en van binnen, Back-ups met restic naar een andere plek, SSH-toegang tot je VPS intrekken bij een oud-medewerker of verloren laptop en Je VPS upgraden naar een nieuwe versie van Debian of Ubuntu.
Een serverdossier
Schrijf per server een kort document en bewaar het buiten de server, bijvoorbeeld in je wachtwoordmanager:
- naam, IP-adressen, besturingssysteem en de einddatum van die versie;
- wat er draait (diensten, containers, websites) en welke poorten daarvoor open staan;
- waar de back-ups staan, hoe je terugzet en wanneer je dat voor het laatst hebt getest;
- welke geheimen er op de server staan (niet de geheimen zelf, wel welke en waar je ze vervangt);
- wie er toegang heeft, en wat je bewust anders deed dan de standaard.
Dat dossier helpt bij een storing, bij een upgrade en als iemand anders het beheer overneemt.
timedatectl dat de klok is gesynchroniseerd: met een verkeerde tijd zijn logboeken onbruikbaar en kunnen certificaten als ongeldig gelden.Je VPS is volledig zelfbeheer: hardening en onderhoud binnen de server doe je zelf. Wij helpen met het WebOké-deel, zoals het VPS-scherm, het netwerk, snapshots en de dagelijkse backups.
Meer leren? Volg de gratis cursus VPS en Linux-serverbeheer, les 10.1 Hardening en CIS-principes of les 10.4 Eindcheck: je server langs de lat.