# Linux VPS -kovennuksen perustaso, jota voit ylläpitää | SwissOctet Insights https://swissoctet.com/fi/insights/linux-vps-hardening-baseline/ SwissOctet / Näkemykset / Toisen päivän toiminnot Toisen päivän toiminnot Sovellettu · 6 min lukuaika Ylläpidettävä Linux VPS -kovennuksen perustaso Turvaa ylläpito, altista vain tarvittavat palvelut ja ota käyttöön päivitykset ja palautus lukitsematta itseäsi ulos. Kirjoittaja SwissOctet Editorial Tallenna opas Kopioi linkki TÄLLÄ SIVULLA 01 Luo luotettu aloituspiste 02 Tee SSH-käytöstä harkittua 03 Paljasta sovellus, ei koko konetta 04 Suunnittele päivitykset toimintaprosessina 05 Rajoita sovelluksen käyttöä ja suojaa palautus 06 Ensimmäisen käyttöönoton sekvenssi, joka pysyy tarkistettavana Käytännön tarkistuslistasi Lähteet ja lisälukemisto Takaisin kirjastoon SUORA VASTAUS Aloita vahvistetusta käytöstä ja palautusreitistä ja määritä sitten yksilöllinen ylläpito, testatut SSH-avaimet, rajoittava palomuuri, ylläpidetty ohjelmisto ja riippumattomat varmuuskopiot. Tee muutokset asteittain ja vahvista uusi istunto ennen vanhan sulkemista. 01 Luo luotettu aloituspiste Ennen koneen muuttamista vahvista odotettu käyttöjärjestelmä, käyttötapa ja palautusreitti. Vahvista SSH-isännän identiteetti operaattorin hyväksymien tietojen kautta sen sijaan, että hyväksyisit odottamattoman avaimen tutkimatta. Pidä väliaikaiset tunnistetiedot yksityisinä ja vaihda ne aiotun prosessin kautta. Kirjaa, kuka henkilö on vastuussa ylläpidosta ja mitkä palautusvaihtoehdot ovat todella käytettävissä tässä palvelussa. Pidä toimiva ylläpitoistunto avoinna, kun teet käyttömuutoksia. Kopioitu kovennusresepti voi poistaa ainoan käyttökelpoisen kirjautumisen, kun se olettaa eri jakelun tai tiliasettelun. Tee yksi muutos kerrallaan, tarkista sen todellinen tulos ja säilytä paluureitti. Tavoitteena on järjestelmä, jota voit ylläpitää turvallisesti, ei kokoonpano, joka näyttää tiukalta mutta jota ei voi hallita. 02 Tee SSH-käytöstä harkittua Luo yksilöllinen hallinnollinen käyttöoikeus asianmukaisin oikeuksin sen sijaan, että jakaisit yhden pysyvän root-kirjautumisen. Asenna ja testaa aiottu julkinen avain ja pidä yksityinen avain valtuutetussa päätepisteessä. Ubuntu OpenSSH -dokumentaatio selittää palvelimen konfigurointia ja todennusvaihtoehtoja. Lue jakelusi voimassa oleva konfiguraatio, mukaan lukien sisällytetyt tiedostot, ennen kuin oletat yhden asetuksen muokkaamisen muuttaneen koko palvelua. Testaa avainpääsy toisen istunnon kautta ennen salasanatodennuksen tai etuoikeutetun kirjautumisen sääntöjen muuttamista. Varmista, että uusi tili pystyy suorittamaan tarvitsemansa hallinnan. Käy läpi automaatio, joka riippuu aiemmasta menetelmästä, ja korvaa sen pääsy harkitusti. Avain on pääsytieto, joten käytä yksityistä tallennuspaikkaa ja kierrätysprosessia sen sijaan, että jättäisit kopioita sovellushakemistoihin. 03 Paljasta sovellus, ei koko konetta Kartoita kuuntelevat palvelut ja tunnista, mitkä niistä on oltava julkisia. Verkkosovellus voi tarvita HTTP ja HTTPS, kun taas sen tietokanta voi pysyä tavoitettavissa vain aiottua sisäistä reittiä pitkin. Ubuntu dokumentoi UFW:n palomuurin konfigurointityökaluna, mutta hyödyllinen käytäntö on työkalusta riippumaton: salli tarvittava liikenne ja rajoita hallinta hyväksyttyihin lähteisiin, kun se on käytännöllistä. Tarkista sekä isäntätason että palveluntarjoajatason hallinnat, jos palvelu sisältää ne. Ennen rajoittavan sääntöjoukon ottamista käyttöön salli testattu hallintareitti ja varmista pääsy toisesta istunnosta. Älä oleta, että SSH:n siirtäminen eri porttiin korvaa todennuksen tai paikkaukset. Pidä palomuurisäännöt ymmärrettävinä, jotta tuleva vianmääritys ei johda kaikkien porttien avaamiseen kiertotienä. Muuta Tarkista ennen käyttöönottoa Tarkista jälkeenpäin Uusi SSH-avain Oikea tili ja julkinen avain Toinen avaimella todennettu istunto toimii Rajoitettu palomuuri Tarvittava palvelu- ja palautumispolku Julkinen sovellus toimii; ei-toivotut portit on suljettu Ohjelmistopäivitys Varmuuskopioinnin ja uudelleenkäynnistyksen vaikutukset Palvelut käynnistyvät uudelleen ja sovellustestit läpäisevät Palvelun käyttöoikeuden muutos Tarvittavat luku- ja kirjoituspolut Sovellus toimii ilman laajempaa järjestelmän käyttöoikeutta 04 Suunnittele päivitykset toimintaprosessina Pidä järjestelmän ja sovelluksen riippuvuudet ylläpidettyinä. Ubuntu:n automaattista päivitystä koskeva ohjeistus kuvaa valvomattomia päivityksiä, sallittuja lähteitä ja uudelleenkäynnistyskäyttäytymistä. Kolmannen osapuolen ohjelmavarasto ei tule automaattisesti katetuksi vain siksi, että se on lisätty koneelle. Käy läpi, mitä määritetty päivitysprosessi todella sisältää, ja anna erikseen asennetuille sovelluksille oma ylläpitopolkunsa. Päätä, miten palvelujen uudelleenkäynnistykset ja uudelleenkäynnistykset hoidetaan. Paketin päivityksen käyttäminen ei aina tarkoita, että jokainen käynnissä oleva prosessi käyttää uutta koodia. Käytä huoltoikkunaa, kun työkuorma sitä vaatii, ja suorita sen jälkeen yksinkertainen sovellustarkistus. Jos paketti vaatii manuaalisia siirtovaiheita, dokumentoi ne sen sijaan, että poistaisit kaikki päivitykset käytöstä toistaiseksi ja unohtaisit niistä aiheutuvan altistuksen. 05 Rajoita sovelluksen käyttöä ja suojaa palautus Aja palveluita niiden tarvitsemilla käyttöoikeuksilla ja erota julkinen sisältö salaisuuksista ja käyttöönoton metatiedoista. Verkkoprosessin ei pitäisi pystyä kirjoittamaan uudelleen kaikkia järjestelmäasetuksia. Pidä ympäristön salaisuudet julkisesti tarjoiltavien hakemistojen ulkopuolella ja vältä sisällyttämästä niitä lokeihin, tukivienteihin tai yleisiin varmuuskopioihin ilman tarkoituksellista suojauskäytäntöä. Poista käyttämättömät paketit ja palvelut, kun niillä ei ole toiminnallista tarkoitusta. Ylläpidä riippumatonta varmuuskopiota ja testaa sovelluksen palauttaminen eristettyyn ympäristöön. Rajoita varmuuskopioiden tunnistetietoja, jotta vaarantunut sovellus ei voi automaattisesti poistaa kaikkia palautuskopioita. Seuraa levyn kapasiteettia, varmuuskopioiden ikää ja palveluvirheitä. Lokien kirjaamisen tulee vastata määritettyihin toiminnallisiin kysymyksiin, ja pääsyä ja säilytystä on valvottava; siitä ei saa tulla rajoittamatonta kopiota arkaluontoisista pyynnöistä. 06 Ensimmäisen käyttöönoton sekvenssi, joka pysyy tarkistettavana Uutta VPS:a varten varmista ensin pääsy ja palautuminen, perusta sitten hallinnollinen tili ja testattu avain. Määritä palomuuri, käytä päivitykset ja ota sovellus käyttöön sen aiottua palvelutiliä käyttäen. Vahvista julkinen käyttäytyminen toisesta ympäristöstä, tarkista, ettei yksityisiä tiedostoja voi noutaa, ja suorita varmuuskopion palautus. Pidä muistiinpanoja jokaisesta päätöksestä ja käyttöoikeusmuutoksen peruuttamispolusta. Vector VPS, Pulse NVMe ja valitut erilliset suunnitelmat esittävät Linux-valintoja SwissOctet-luettelossa. Vahvista valittu levykuva ja ylläpitotyön jako ennen tilaamista. Mikään Linux-levykuvan nimi ei todista, että koventaminen, päivitykset tai varmuuskopiot olisi jo hoidettu. Perustaso on niiden hallintakeinojen joukko, jotka määrität, vahvistat ja joita ylläpidät edelleen projektin muuttuessa. MUUNNA SE TOIMINNAKSI Käytännön tarkistuslistasi. ✓ Vahvista SSH-isännän identiteetti ja palautumisreitti. ✓ Testaa yksilöllinen avainpääsy toisessa istunnossa. ✓ Rajoita kuuntelevia palveluita ja palomuurisääntöjä. ✓ Käy läpi päivityskattavuus ja uudelleenkäynnistyskäyttäytyminen. ✓ Erota salaisuudet julkisista tiedostoista ja palvelun käyttöoikeuksista. ✓ Testaa riippumaton palautuskopio. Lataa tarkistuslista YLEISET KYSYMYKSET Olennaiset yksityiskohdat. Pitäisikö salasanakirjautuminen poistaa käytöstä heti? + Perusta ja testaa ensin korvaava avainpääsy ja palautumisreitti. Muuta sitten todennusta tukemasi konfiguraation mukaisesti. Korvaako SSH-portin muutos koventamisen? + Ei. Se ei korvaa vahvaa todennusta, rajoitettua pääsyä, päivityksiä tai asianmukaista tilin käyttöoikeutta. Riittävätkö automaattiset päivitykset jokaiseen sovellukseen? + Ei. Tarkista sallitut ohjelmavarastot, uudelleenkäynnistysvaatimukset ja ohjelmisto, joka on asennettu järjestelmän päivitysprosessin ulkopuolelle. ENSISIJAISET LÄHTEET Mene lähteelle. Nämä lähteet tukevat tämän oppaan teknisiä käsitteitä. Noudata ajantasaisia dokumentaatioita ennen tuotantojärjestelmän muuttamista. Ubuntu Server: OpenSSH-palvelin ubuntu.com Ubuntu Server: Palomuurit ubuntu.com Ubuntu Server: Automaattiset päivitykset ubuntu.com Toimituksellinen ohjaus: SwissOctet. Esimerkit ovat havainnollistavia. Palvelumääritykset, saatavilla olevat vaihtoehdot ja sopimusehdot on tarkistettava erikseen. YHDISTÄ TIETO Aiheeseen liittyvä infrastruktuuri. Vector VPS Sveitsi Pulse NVMe Sveitsi Metal EPYC Sveitsi PIDÄ LANGANPÄÄ Seuraavat kenttämuistiinpanosi. Tutustu kaikkiin oppaisiin KENTTÄMUISTIINPANO / 01 + Toisen päivän toiminnot Sovellettu Rakenna varmuuskopio, jonka voit todella palauttaa Valitse palautustavoite, suojaa riippumaton kopio ja harjoittele palauttamista ennen kuin häiriö pakottaa asian. 4 min luku Lue opas KENTTÄMUISTIINPANO / 02 + Toisen päivän toiminnot Sovellettu Käytännön uhkamalli isännöidylle projektillesi Kartoita omaisuus ja luottamusrajat, valitse muutama realistinen vikaskenaario ja muunna ne kontrolleiksi, joita voit testata. 6 min lukuaika Lue opas KENTTÄMUISTIINPANO / 03 + Toisen päivän toiminnot Sovellettu Turvallinen Windows RDP -ylläpito menettämättä pääsyä Erota verkon tavoitettavuus, todennus ja käyttöoikeudet ja varmista sitten palautusreitti ennen etäkäytön kiristämistä. 6 min lukuaika Lue opas