Mulailah dengan akses terverifikasi dan jalur pemulihan, lalu konfigurasikan administrasi individual, kunci SSH yang teruji, firewall yang ketat, perangkat lunak yang dipelihara, dan backup independen. Terapkan perubahan secara bertahap dan verifikasi sesi baru sebelum menutup sesi lama.
Tetapkan titik awal yang tepercaya
Sebelum mengubah mesin, pastikan sistem operasi yang diharapkan, metode akses, dan jalur pemulihan. Verifikasi identitas host SSH melalui informasi yang disetujui operator alih-alih menerima kunci tak terduga tanpa penyelidikan. Jaga kredensial sementara tetap privat dan ganti melalui proses yang dimaksudkan. Catat siapa yang bertanggung jawab atas pemeliharaan dan opsi pemulihan apa yang benar-benar tersedia untuk layanan ini.
Biarkan sesi administrasi yang berfungsi tetap terbuka saat melakukan perubahan akses. Resep hardening yang disalin dapat menghapus satu-satunya login yang dapat digunakan ketika mengasumsikan distribusi atau tata letak akun yang berbeda. Lakukan satu perubahan pada satu waktu, periksa hasil efektifnya, dan pertahankan jalur kembali. Tujuannya adalah sistem yang dapat Anda pelihara dengan aman, bukan konfigurasi yang terlihat ketat tetapi tidak dapat diadministrasikan.
Buat akses SSH disengaja
Buat akses administratif individual dengan hak istimewa yang sesuai alih-alih berbagi satu login root permanen. Pasang dan uji kunci publik yang dimaksudkan, dengan menyimpan kunci privat di endpoint yang diizinkan. Dokumentasi Ubuntu OpenSSH menjelaskan konfigurasi server dan pilihan autentikasi. Baca konfigurasi efektif untuk distribusi Anda, termasuk file yang disertakan, sebelum menganggap bahwa mengedit satu pengaturan telah mengubah seluruh layanan.
Uji akses kunci melalui sesi kedua sebelum mengubah autentikasi kata sandi atau aturan login istimewa. Pastikan akun baru dapat menjalankan administrasi yang dibutuhkannya. Tinjau otomatisasi apa pun yang bergantung pada metode sebelumnya dan ganti aksesnya secara sengaja. Kunci adalah kredensial akses, jadi gunakan lokasi penyimpanan privat dan proses rotasi alih-alih meninggalkan salinan di dalam direktori aplikasi.
Paparkan aplikasi, bukan seluruh mesin
Inventarisasi layanan yang mendengarkan dan identifikasi mana yang harus publik. Aplikasi web mungkin memerlukan HTTP dan HTTPS, sementara basis datanya dapat tetap hanya dapat dijangkau melalui jalur internal yang dimaksudkan. Ubuntu mendokumentasikan UFW sebagai alat konfigurasi firewall, tetapi kebijakan yang berguna tidak bergantung pada alat tersebut: izinkan lalu lintas yang diperlukan dan batasi administrasi ke sumber yang disetujui jika memungkinkan.
Periksa kontrol di tingkat host maupun penyedia jika layanan menyertakannya. Sebelum mengaktifkan kumpulan aturan yang ketat, izinkan jalur administrasi yang telah diuji dan verifikasi akses dari sesi lain. Jangan menganggap bahwa memindahkan SSH ke port berbeda menggantikan autentikasi atau penambalan. Jaga agar aturan firewall tetap mudah dipahami sehingga pemecahan masalah di masa mendatang tidak berujung pada membuka semua port sebagai solusi sementara.
| Ubah | Periksa sebelum menerapkan | Periksa setelahnya |
|---|---|---|
| Kunci SSH baru | Akun dan kunci publik yang benar | Sesi kedua yang diautentikasi kunci berfungsi |
| Firewall yang dibatasi | Layanan yang diperlukan dan jalur pemulihan | Aplikasi publik berfungsi; port yang tidak diinginkan ditutup |
| Pembaruan perangkat lunak | Implikasi pencadangan dan mulai ulang | Layanan dimulai ulang dan pengujian aplikasi lulus |
| Perubahan izin layanan | Jalur baca dan tulis yang diperlukan | Aplikasi berfungsi tanpa akses sistem yang lebih luas |
Rencanakan pembaruan sebagai proses operasi
Jaga agar sistem dan dependensi aplikasi tetap terpelihara. Panduan pembaruan otomatis Ubuntu menjelaskan peningkatan tanpa pengawasan, asal yang diizinkan, dan perilaku mulai ulang. Repositori pihak ketiga tidak otomatis tercakup hanya karena telah ditambahkan ke mesin. Tinjau apa yang sebenarnya disertakan oleh proses pembaruan yang dikonfigurasi, dan berikan aplikasi yang dipasang secara terpisah jalur pemeliharaannya sendiri.
Putuskan bagaimana mulai ulang layanan dan reboot akan ditangani. Menerapkan pembaruan paket tidak selalu berarti setiap proses yang berjalan menggunakan kode baru. Gunakan jendela pemeliharaan jika beban kerja memerlukannya, dan lakukan pemeriksaan aplikasi sederhana setelahnya. Jika paket memerlukan langkah migrasi manual, dokumentasikan langkah tersebut alih-alih menonaktifkan semua pembaruan tanpa batas dan melupakan paparan yang diakibatkannya.
Batasi akses aplikasi dan lindungi pemulihan
Jalankan layanan dengan izin yang dibutuhkannya, dan pisahkan konten publik dari rahasia dan metadata penerapan. Proses web tidak boleh dapat menulis ulang setiap pengaturan sistem. Simpan rahasia lingkungan di luar direktori yang dilayani publik dan hindari memasukkannya ke dalam log, ekspor dukungan, atau pencadangan umum tanpa kebijakan perlindungan yang disengaja. Hapus paket dan layanan yang tidak digunakan ketika tidak memiliki tujuan operasional.
Pelihara pencadangan independen dan uji pemulihan aplikasi ke lingkungan terisolasi. Batasi kredensial pencadangan agar aplikasi yang disusupi tidak dapat secara otomatis menghapus setiap salinan pemulihan. Pantau kapasitas disk, usia pencadangan, dan kegagalan layanan. Pencatatan log harus menjawab pertanyaan operasional yang telah ditentukan, dengan akses dan retensi yang dikendalikan; pencatatan tidak boleh menjadi salinan tak terbatas dari permintaan sensitif.
Urutan deployment pertama yang tetap dapat ditinjau
Untuk VPS baru, pertama verifikasi akses dan pemulihan, lalu buat akun administratif dan kunci yang telah diuji. Konfigurasikan firewall, terapkan pembaruan, dan terapkan aplikasi di bawah akun layanan yang dimaksudkan. Konfirmasi perilaku publik dari lingkungan lain, periksa bahwa file privat tidak dapat diambil, dan lakukan pemulihan pencadangan. Simpan catatan tentang setiap keputusan dan jalur untuk membalikkan perubahan akses.
Vector VPS, Pulse NVMe, dan paket khusus terpilih menyajikan pilihan Linux dalam katalog SwissOctet. Konfirmasi image yang dipilih dan pembagian kerja pemeliharaan sebelum memesan. Tidak ada nama image Linux yang membuktikan bahwa hardening, pembaruan, atau pencadangan sudah dikelola. Baseline adalah kumpulan kontrol yang Anda konfigurasikan, verifikasi, dan terus pelihara seiring perubahan proyek.
Daftar periksa praktis Anda.
- Verifikasi identitas host SSH dan jalur pemulihan.
- Uji akses kunci individual dalam sesi kedua.
- Batasi layanan yang mendengarkan dan aturan firewall.
- Tinjau cakupan pembaruan dan perilaku mulai ulang.
- Pisahkan rahasia dari file publik dan izin layanan.
- Uji salinan pemulihan independen.
Detail yang penting.
Haruskah saya segera menonaktifkan login kata sandi?+
Pertama, buat dan uji akses kunci pengganti serta jalur pemulihan. Kemudian ubah autentikasi sesuai konfigurasi yang didukung.
Apakah perubahan port SSH menggantikan hardening?+
Tidak. Hal itu tidak menggantikan autentikasi yang kuat, akses yang dibatasi, pembaruan, atau hak istimewa akun yang sesuai.
Apakah pembaruan otomatis cukup untuk setiap aplikasi?+
Tidak. Periksa repositori yang diizinkan, persyaratan mulai ulang, dan perangkat lunak yang dipasang di luar proses pembaruan sistem.
Kunjungi sumbernya.
Referensi ini mendukung konsep teknis dalam panduan ini. Ikuti dokumentasi terkini sebelum mengubah sistem produksi.
- Ubuntu Server: Server OpenSSH ubuntu.com
- Ubuntu Server: Firewall ubuntu.com
- Ubuntu Server: Pembaruan otomatis ubuntu.com
Panduan editorial oleh SwissOctet. Contoh bersifat ilustratif. Spesifikasi layanan, opsi yang tersedia, dan ketentuan kontraktual harus diverifikasi secara terpisah.