Inizia con accesso verificato e un percorso di ripristino, poi configura amministrazione individuale, chiavi SSH testate, un firewall restrittivo, software mantenuto e backup indipendenti. Applica le modifiche in modo incrementale e verifica una nuova sessione prima di chiudere quella vecchia.
Stabilisci un punto di partenza affidabile
Prima di modificare la macchina, conferma il sistema operativo previsto, il metodo di accesso e il percorso di ripristino. Verifica l'identità dell'host SSH tramite le informazioni approvate dall'operatore invece di accettare una chiave inattesa senza indagare. Mantieni private le credenziali temporanee e sostituiscile tramite il processo previsto. Registra quale persona è responsabile della manutenzione e quali opzioni di ripristino sono effettivamente disponibili per questo servizio.
Mantieni aperta una sessione amministrativa funzionante mentre apporti modifiche all'accesso. Una ricetta di hardening copiata può rimuovere l'unico login utilizzabile quando presuppone una distribuzione o una struttura di account diversa. Apporta una modifica alla volta, controllane il risultato effettivo e preserva una via di ritorno. L'obiettivo è un sistema che puoi mantenere in sicurezza, non una configurazione che sembra rigorosa ma non è amministrabile.
Rendi deliberato l'accesso a SSH
Crea un accesso amministrativo individuale con privilegi adeguati invece di condividere un unico login root permanente. Installa e testa la chiave pubblica prevista, mantenendo la chiave privata sull'endpoint autorizzato. La documentazione OpenSSH di Ubuntu spiega la configurazione del server e le scelte di autenticazione. Leggi la configurazione effettiva per la tua distribuzione, inclusi i file inclusi, prima di presumere che modificare un'impostazione abbia cambiato l'intero servizio.
Testa l'accesso con chiave tramite una seconda sessione prima di modificare l'autenticazione con password o le regole di login privilegiato. Assicurati che il nuovo account possa svolgere l'amministrazione di cui ha bisogno. Esamina qualsiasi automazione che dipende dal metodo precedente e sostituisci il suo accesso in modo deliberato. Una chiave è una credenziale di accesso, quindi usa una posizione di archiviazione privata e un processo di rotazione invece di lasciare copie nelle directory dell'applicazione.
Esponi l'applicazione, non l'intera macchina
Inventaria i servizi in ascolto e identifica quali devono essere pubblici. Un'applicazione web può aver bisogno di HTTP e HTTPS, mentre il suo database può restare raggiungibile solo tramite il percorso interno previsto. Ubuntu documenta UFW come strumento di configurazione del firewall, ma la policy utile è indipendente dallo strumento: consenti il traffico necessario e limita l'amministrazione alle fonti approvate ove praticabile.
Controlla sia i controlli a livello di host sia quelli a livello di provider se il servizio li include. Prima di abilitare un insieme di regole restrittive, consenti il percorso amministrativo testato e verifica l'accesso da un'altra sessione. Non presumere che spostare SSH su una porta diversa sostituisca autenticazione o patch. Mantieni comprensibili le regole del firewall affinché la risoluzione dei problemi futura non porti ad aprire ogni porta come soluzione alternativa.
| Modifica | Controlla prima di applicare | Controlla dopo |
|---|---|---|
| Nuova chiave SSH | Account e chiave pubblica corretti | La seconda sessione autenticata con chiave funziona |
| Firewall limitato | Percorsi di servizio e ripristino richiesti | L'app pubblica funziona; le porte non previste sono chiuse |
| Aggiornamento software | Implicazioni per backup e riavvio | I servizi si riavviano e i test dell'applicazione passano |
| Modifica dei permessi del servizio | Percorsi di lettura e scrittura richiesti | L'app funziona senza un accesso più ampio al sistema |
Pianifica gli aggiornamenti come processo operativo
Mantieni aggiornati il sistema e le dipendenze dell'applicazione. La guida agli aggiornamenti automatici di Ubuntu descrive gli aggiornamenti non presidiati, le origini consentite e il comportamento di riavvio. Un repository di terze parti non è automaticamente coperto solo perché è stato aggiunto alla macchina. Esamina cosa include effettivamente il processo di aggiornamento configurato e assegna alle applicazioni installate separatamente un proprio percorso di manutenzione.
Decidi come saranno gestiti i riavvii dei servizi e i reboot. Applicare un aggiornamento di pacchetto non significa sempre che ogni processo in esecuzione stia usando il nuovo codice. Usa una finestra di manutenzione dove il carico di lavoro la richiede ed esegui un semplice controllo dell'applicazione in seguito. Se un pacchetto richiede passaggi di migrazione manuali, documentali invece di disabilitare tutti gli aggiornamenti a tempo indefinito e dimenticare l'esposizione risultante.
Limita l'accesso all'applicazione e proteggi il ripristino
Esegui i servizi con i permessi di cui hanno bisogno e separa i contenuti pubblici da segreti e metadati di deployment. Un processo web non dovrebbe poter riscrivere ogni impostazione di sistema. Mantieni i segreti d'ambiente fuori dalle directory servite pubblicamente ed evita di includerli in log, esportazioni di supporto o backup generali senza una policy di protezione intenzionale. Rimuovi pacchetti e servizi inutilizzati quando non hanno uno scopo operativo.
Mantieni un backup indipendente e testa il ripristino dell'applicazione in un ambiente isolato. Limita le credenziali di backup affinché un'applicazione compromessa non possa eliminare automaticamente ogni copia di ripristino. Monitora la capacità del disco, l'età dei backup e i guasti dei servizi. Il logging dovrebbe rispondere a domande operative definite, con accesso e conservazione controllati; non dovrebbe diventare una copia illimitata di richieste sensibili.
Una sequenza di primo deployment che resta verificabile
Per un nuovo VPS, verifica prima accesso e ripristino, poi stabilisci l'account amministrativo e la chiave testata. Configura il firewall, applica gli aggiornamenti e distribuisci l'applicazione con il suo account di servizio previsto. Conferma il comportamento pubblico da un altro ambiente, controlla che i file privati non possano essere recuperati ed esegui un ripristino da backup. Prendi nota di ogni decisione e del percorso per annullare una modifica all'accesso.
Vector VPS, Pulse NVMe e piani dedicati selezionati presentano le scelte Linux nel catalogo SwissOctet. Conferma l'immagine scelta e la divisione del lavoro di manutenzione prima di ordinare. Nessun nome di immagine Linux prova che hardening, aggiornamenti o backup siano già gestiti. La baseline è l'insieme di controlli che configuri, verifichi e continui a mantenere mentre il progetto cambia.
La tua checklist pratica.
- Verifica l'identità dell'host SSH e il percorso di ripristino.
- Testa l'accesso individuale con chiave in una seconda sessione.
- Limita i servizi in ascolto e le regole del firewall.
- Esamina la copertura degli aggiornamenti e il comportamento di riavvio.
- Separa i segreti dai file pubblici e dalle autorizzazioni dei servizi.
- Verifica una copia di ripristino indipendente.
I dettagli che contano.
Dovrei disattivare subito l'accesso con password?+
Per prima cosa stabilisci e verifica l'accesso con la chiave sostitutiva e il percorso di ripristino. Poi modifica l'autenticazione in base alla configurazione supportata.
La modifica di una porta SSH sostituisce l'hardening?+
No. Non sostituisce un'autenticazione forte, un accesso limitato, gli aggiornamenti o privilegi di account appropriati.
Gli aggiornamenti automatici sono sufficienti per ogni applicazione?+
No. Controlla i repository consentiti, i requisiti di riavvio e il software installato al di fuori del processo di aggiornamento del sistema.
Vai alla fonte.
Questi riferimenti supportano i concetti tecnici di questa guida. Segui la documentazione corrente prima di modificare un sistema di produzione.
- Ubuntu Server: server OpenSSH ubuntu.com
- Ubuntu Server: firewall ubuntu.com
- Ubuntu Server: aggiornamenti automatici ubuntu.com
Guida editoriale di SwissOctet. Gli esempi sono illustrativi. Le specifiche di servizio, le opzioni disponibili e le condizioni contrattuali devono essere verificate separatamente.