# Isang Linux VPS hardening baseline na maaari mong panatilihin | SwissOctet Insights https://swissoctet.com/fil/insights/linux-vps-hardening-baseline/ SwissOctet / Mga Insight / Patuloy na pagpapatakbo Patuloy na pagpapatakbo Inilapat · 6 min read Isang baseline ng pagpapatibay ng Linux VPS na maaari mong panatilihin Ligtas na pangangasiwa, ilantad lamang ang mga kinakailangang serbisyo at magtatag ng mga update at pagbawi nang hindi ikaw ay nakakandado. Ni SwissOctet Editorial I-save ang gabay Kopyahin ang link SA PAHINANG ITO 01 Magtatag ng pinagkakatiwalaang panimulang punto 02 Gawing sinadya ang pag-access sa SSH 03 Ihayag ang application, hindi ang buong makina 04 Planuhin ang mga update bilang isang operating process 05 Limitahan ang access sa application at protektahan ang recovery 06 Isang sequence ng first deployment na nananatiling masusuri Ang iyong praktikal na checklist Mga pinagmulan at karagdagang babasahin Bumalik sa library ANG DIREKTANG SAGOT Magsimula sa verified na access at recovery route, pagkatapos ay i-configure ang indibidwal na administration, nasubok na SSH keys, mahigpit na firewall, pinapanatiliang software at independiyenteng backup. Ilapat ang mga pagbabago nang paunti-unti at i-verify ang bagong session bago isara ang luma. 01 Magtatag ng pinagkakatiwalaang panimulang punto Bago baguhin ang makina, kumpirmahin ang inaasahang operating system, paraan ng access at recovery route. I-verify ang pagkakakilanlan ng SSH host sa pamamagitan ng aprubadong impormasyon ng operator sa halip na tanggapin ang hindi inaasahang key nang walang imbestigasyon. Panatilihing pribado ang mga pansamantalang kredensyal at palitan ang mga ito sa pamamagitan ng inilalayong proseso. Itala kung sinong tao ang responsable sa maintenance at kung aling mga recovery option ang aktwal na magagamit para sa serbisyong ito. Panatilihing bukas ang gumaganang administration session habang gumagawa ng mga pagbabago sa access. Ang kinopyang hardening recipe ay maaaring magtanggal ng tanging magagamit na login kapag ipinapalagay nito ang ibang distribution o layout ng account. Gawin ang isang pagbabago sa isang pagkakataon, suriin ang epektibong resulta nito at panatilihin ang daan pabalik. Ang layunin ay isang system na ligtas mong mapapanatili, hindi isang configuration na mukhang mahigpit ngunit hindi ma-administer. 02 Gawing sinadya ang pag-access sa SSH Gumawa ng indibidwal na administrative access na may angkop na privilege sa halip na magbahagi ng isang permanenteng root login. I-install at subukan ang inilalayong public key, na pinapanatili ang private key sa awtorisadong endpoint. Ipinaliwanag ng Ubuntu OpenSSH documentation ang server configuration at mga pagpipilian sa authentication. Basahin ang epektibong configuration para sa iyong distribution, kasama ang mga kasamang file, bago ipagpalagay na ang pag-edit ng isang setting ay nagbago sa buong serbisyo. Subukan ang key access sa pamamagitan ng pangalawang session bago baguhin ang password authentication o mga panuntunan sa privileged login. Tiyakin na ang bagong account ay makakagawa ng administration na kailangan nito. Suriin ang anumang automation na umaasa sa dating paraan at palitan ang access nito nang sinadya. Ang key ay isang access credential, kaya gumamit ng pribadong lokasyon ng imbakan at proseso ng rotation sa halip na mag-iwan ng mga kopya sa loob ng mga application directory. 03 Ihayag ang application, hindi ang buong makina I-inventory ang mga listening service at tukuyin kung alin ang dapat pampubliko. Ang isang web application ay maaaring mangailangan ng HTTP at HTTPS, habang ang database nito ay maaaring manatiling maaabot lamang sa pamamagitan ng inilalayong internal na daan. Dokumentado ng Ubuntu ang UFW bilang tool sa pag-configure ng firewall, ngunit ang kapaki-pakinabang na policy ay independiyente sa tool: payagan ang kinakailangang traffic at limitahan ang administration sa mga aprubadong pinagmulan kung praktikal. Suriin ang parehong host-level at provider-level na kontrol kung kasama ang mga ito sa serbisyo. Bago paganahin ang isang mahigpit na set ng panuntunan, payagan ang nasubok na administration path at i-verify ang access mula sa ibang session. Huwag ipagpalagay na ang paglipat ng SSH sa ibang port ay kapalit ng authentication o patching. Panatilihing nauunawaan ang mga firewall rule para ang hinaharap na troubleshooting ay hindi humantong sa pagbubukas ng lahat ng port bilang workaround. Pagbabago Suriin bago ilapat Suriin pagkatapos Bagong SSH key Tamang account at public key Gumagana ang pangalawang key-authenticated na session Pinaghihigpitang firewall Kinakailangang serbisyo at recovery path Gumagana ang public app; sarado ang mga hindi inaasahang port Update ng software Implikasyon sa backup at restart Nag-restart ang mga serbisyo at pumasa ang mga application test Pagbabago sa pahintulot ng serbisyo Kinakailangang read at write path Gumagana ang app nang walang mas malawak na access sa system 04 Planuhin ang mga update bilang isang operating process Panatilihing maintained ang system at mga dependency ng application. Inilalarawan ng gabay ng Ubuntu sa automatic update ang unattended upgrades, mga pinapayagang pinagmulan at behavior ng restart. Ang third-party repository ay hindi awtomatikong sakop dahil lang idinagdag ito sa makina. Suriin kung ano ang aktwal na kasama sa naka-configure na update process, at bigyan ng sariling maintenance path ang mga hiwalay na naka-install na application. Magpasya kung paano hahawakan ang mga restart at reboot ng serbisyo. Ang paglalapat ng package update ay hindi laging nangangahulugang ginagamit ng bawat tumatakbong proseso ang bagong code. Gumamit ng maintenance window kung kailangan ito ng workload, at magsagawa ng simpleng application check pagkatapos. Kung ang isang package ay nangangailangan ng manu-manong migration step, idokumento ang mga ito sa halip na huwag paganahin ang lahat ng update nang walang katiyakan at kalimutan ang nagresultang exposure. 05 Limitahan ang access sa application at protektahan ang recovery Patakbuhin ang mga serbisyo gamit ang pahintulot na kailangan nila, at paghiwalayin ang pampublikong nilalaman mula sa mga secret at deployment metadata. Ang isang web process ay hindi dapat makapag-rewrite ng bawat system setting. Panatilihin ang mga environment secret sa labas ng mga pampublikong hinahatid na directory at iwasang isama ang mga ito sa log, support export o pangkalahatang backup nang walang sinadyang protection policy. Alisin ang mga hindi ginagamit na package at serbisyo kapag wala silang operasyonal na layunin. Panatilihin ang independiyenteng backup at subukan ang pag-restore ng application sa isang isolated na environment. Limitahan ang mga backup credential para ang nakompromisong application ay hindi awtomatikong makakapag-delete ng bawat recovery copy. Subaybayan ang kapasidad ng disk, edad ng backup at mga pagkasira ng serbisyo. Ang logging ay dapat sumagot sa tinukoy na operasyonal na tanong, na may kontroladong access at retention; hindi ito dapat maging walang limitasyong kopya ng sensitibong request. 06 Isang sequence ng first deployment na nananatiling masusuri Para sa bagong VPS, i-verify muna ang access at recovery, pagkatapos ay itatag ang administrative account at nasubok na key. I-configure ang firewall, ilapat ang mga update at i-deploy ang application sa ilalim ng inilalayong service account. Kumpirmahin ang pampublikong behavior mula sa ibang environment, suriin na hindi makukuha ang mga pribadong file at magsagawa ng backup restore. Panatilihin ang mga tala tungkol sa bawat desisyon at ang daan para baligtarin ang pagbabago sa access. Ang Vector VPS, Pulse NVMe at piling dedicated plan ay nagpapakita ng Linux na pagpipilian sa SwissOctet catalogue. Kumpirmahin ang napiling image at ang paghahati ng maintenance work bago mag-order. Walang pangalan ng Linux image ang nagpapatunay na ang hardening, update o backup ay pinamamahalaan na. Ang baseline ay ang set ng mga kontrol na iyong kino-configure, vine-verify at patuloy na pinapanatili habang nagbabago ang proyekto. GAWIN ITONG AKSYON Ang iyong praktikal na checklist. ✓ I-verify ang pagkakakilanlan ng SSH host at recovery route. ✓ Subukan ang indibidwal na key access sa pangalawang session. ✓ Limitahan ang mga listening service at firewall rule. ✓ Suriin ang saklaw ng update at behavior ng restart. ✓ Paghiwalayin ang mga secret mula sa pampublikong file at pahintulot ng serbisyo. ✓ Subukan ang independiyenteng recovery copy. I-download ang checklist MGA KARANIWANG TANONG Ang mga detalyeng mahalaga. Dapat ko bang agad na huwag paganahin ang password login? + Itatag at subukan muna ang kapalit na key access at recovery route. Pagkatapos ay baguhin ang authentication ayon sa iyong sinusuportahang configuration. Pinapalitan ba ng pagbabago ng SSH port ang hardening? + Hindi. Hindi nito pinapalitan ang matibay na authentication, pinaghihigpitang access, update o angkop na pahintulot ng account. Sapat ba ang automatic update para sa bawat application? + Hindi. Suriin ang mga pinapayagang repository, kinakailangan sa restart at software na naka-install sa labas ng update process ng system. MGA PANGUNAHING SANGGUNIAN Pumunta sa pinagmulan. Sinusuportahan ng mga sangguniang ito ang mga teknikal na konsepto sa gabay na ito. Sundin ang kasalukuyang dokumentasyon bago baguhin ang isang production system. Ubuntu Server: OpenSSH server ubuntu.com Ubuntu Server: Firewalls ubuntu.com Ubuntu Server: Automatic updates ubuntu.com Editorial guidance ni SwissOctet. Ang mga halimbawa ay ilustratibo. Ang service specifications, available options at contractual conditions ay dapat beripikahin nang hiwalay. IKONEKTA ANG KAALAMAN Kaugnay na infrastructure. Vector VPS Switzerland Pulse NVMe Switzerland Metal EPYC Switzerland PANATILIHIN ANG SINULID Ang iyong susunod na field notes. Tuklasin ang bawat gabay TALA SA PRAKTIKA / 01 + Patuloy na pagpapatakbo Praktikal Bumuo ng backup na aktwal mong maibabalik Pumili ng recovery target, protektahan ang independiyenteng kopya at sanayin ang restoration bago pilitin ng isang insidente ang isyu. 4 minutong pagbasa Basahin ang gabay TALA SA PRAKTIKA / 02 + Patuloy na pagpapatakbo Praktikal Isang praktikal na threat model para sa iyong naka-host na proyekto I-map ang mga asset at trust boundary, pumili ng ilang makatotohanang senaryo ng pagkasira at gawin ang mga itong kontrol na masusubukan mo. 6 min na pagbabasa Basahin ang gabay TALA SA PRAKTIKA / 03 + Patuloy na pagpapatakbo Praktikal Ligtas na pangangasiwa ng Windows RDP nang hindi nawawalan ng access Paghiwalayin ang network reachability, authentication at pribilehiyo, pagkatapos ay i-verify ang ruta ng pagbawi bago higpitan ang remote access. 6 min na pagbabasa Basahin ang gabay