# Podstawa utwardzania Linux VPS, którą możesz utrzymywać | SwissOctet Spostrzeżenia https://swissoctet.com/pl/insights/linux-vps-hardening-baseline/ SwissOctet / Spostrzeżenia / Operacje dnia drugiego Operacje dnia drugiego Zastosowane · 6 min czytania Bazowy poziom utwardzenia Linux VPS, który możesz utrzymywać Zabezpiecz administrację, udostępniaj tylko wymagane usługi i ustanów aktualizacje oraz odzyskiwanie, nie blokując sobie dostępu. Autor: SwissOctet Editorial Zapisz przewodnik Kopiuj link NA TEJ STRONIE 01 Ustanów zaufany punkt wyjścia 02 Uczyń dostęp SSH zamierzonym 03 Eksponuj aplikację, a nie całą maszynę 04 Planuj aktualizacje jako proces operacyjny 05 Ogranicz dostęp aplikacji i chroń odtwarzanie 06 Sekwencja pierwszego wdrożenia, która pozostaje możliwa do przeglądu Twoja praktyczna lista kontrolna Źródła i dalsza lektura Powrót do biblioteki BEZPOŚREDNIA ODPOWIEDŹ Zacznij od zweryfikowanego dostępu i ścieżki odtwarzania, a następnie skonfiguruj indywidualną administrację, przetestowane klucze SSH, restrykcyjny firewall, utrzymywane oprogramowanie i niezależne kopie zapasowe. Wprowadzaj zmiany stopniowo i zweryfikuj nową sesję przed zamknięciem starej. 01 Ustanów zaufany punkt wyjścia Przed zmianą maszyny potwierdź oczekiwany system operacyjny, metodę dostępu i ścieżkę odtwarzania. Zweryfikuj tożsamość hosta SSH przez zatwierdzone informacje operatora, zamiast akceptować nieoczekiwany klucz bez zbadania sprawy. Chroń tymczasowe poświadczenia i zastępuj je zamierzonym procesem. Zapisz, która osoba odpowiada za utrzymanie i jakie opcje odtwarzania są faktycznie dostępne dla tej usługi. Podczas zmian dostępu utrzymuj otwartą działającą sesję administracyjną. Skopiowana recepta utwardzania może usunąć jedyne użyteczne logowanie, gdy zakłada inną dystrybucję lub układ kont. Wprowadzaj jedną zmianę naraz, sprawdzaj jej rzeczywisty wynik i zachowuj drogę powrotną. Celem jest system, którym możesz bezpiecznie zarządzać, a nie konfiguracja, która wygląda surowo, ale nie da się nią administrować. 02 Uczyń dostęp SSH zamierzonym Utwórz indywidualny dostęp administracyjny z odpowiednimi uprawnieniami, zamiast współdzielić jedno stałe logowanie root. Zainstaluj i przetestuj zamierzony klucz publiczny, przechowując klucz prywatny na autoryzowanym punkcie końcowym. Dokumentacja Ubuntu OpenSSH wyjaśnia konfigurację serwera i wybory uwierzytelniania. Przeczytaj obowiązującą konfigurację dla swojej dystrybucji, w tym dołączone pliki, zanim założysz, że edycja jednego ustawienia zmieniła całą usługę. Przetestuj dostęp kluczem w drugiej sesji, zanim zmienisz uwierzytelnianie hasłem lub reguły uprzywilejowanego logowania. Upewnij się, że nowe konto może wykonywać potrzebną administrację. Przejrzyj automatyzację zależną od poprzedniej metody i zamień jej dostęp w sposób zamierzony. Klucz to poświadczenie dostępu, więc używaj prywatnej lokalizacji przechowywania i procesu rotacji, zamiast zostawiać kopie w katalogach aplikacji. 03 Eksponuj aplikację, a nie całą maszynę Zinwentaryzuj nasłuchujące usługi i wskaż, które muszą być publiczne. Aplikacja webowa może potrzebować HTTP i HTTPS, podczas gdy jej baza danych może pozostać osiągalna tylko przez zamierzoną ścieżkę wewnętrzną. Ubuntu opisuje UFW jako narzędzie konfiguracji firewalla, ale użyteczna polityka jest niezależna od narzędzia: zezwól na wymagany ruch i ogranicz administrację do zatwierdzonych źródeł, gdy to praktyczne. Sprawdź zarówno kontrole na poziomie hosta, jak i dostawcy, jeśli usługa je obejmuje. Przed włączeniem restrykcyjnego zestawu reguł zezwól na przetestowaną ścieżkę administracji i zweryfikuj dostęp z innej sesji. Nie zakładaj, że przeniesienie SSH na inny port zastępuje uwierzytelnianie lub łatanie. Utrzymuj reguły firewalla zrozumiałe, aby przyszłe rozwiązywanie problemów nie prowadziło do otwierania każdego portu jako obejścia. Zmiana Sprawdź przed zastosowaniem Sprawdź po zastosowaniu Nowy klucz SSH Prawidłowe konto i klucz publiczny Druga sesja uwierzytelniona kluczem działa Restrykcyjny firewall Wymagana usługa i ścieżki odtwarzania Publiczna aplikacja działa; niezamierzone porty są zamknięte Aktualizacja oprogramowania Konsekwencje dla kopii zapasowej i restartu Usługi restartują się, a testy aplikacji przechodzą Zmiana uprawnień usługi Wymagane ścieżki odczytu i zapisu Aplikacja działa bez szerszego dostępu do systemu 04 Planuj aktualizacje jako proces operacyjny Utrzymuj system i zależności aplikacji w dobrym stanie. Wskazówki Ubuntu dotyczące automatycznych aktualizacji opisują nienadzorowane aktualizacje, dozwolone źródła i zachowanie restartu. Repozytorium innej firmy nie jest automatycznie objęte tylko dlatego, że zostało dodane do maszyny. Przejrzyj, co faktycznie obejmuje skonfigurowany proces aktualizacji, i zapewnij osobno zainstalowanym aplikacjom własną ścieżkę utrzymania. Zdecyduj, jak będą obsługiwane restarty usług i ponowne uruchomienia. Zastosowanie aktualizacji pakietu nie zawsze oznacza, że każdy działający proces używa nowego kodu. Użyj okna serwisowego, gdy obciążenie tego wymaga, i wykonaj po nim prostą kontrolę aplikacji. Jeśli pakiet wymaga ręcznych kroków migracji, udokumentuj je, zamiast wyłączać wszystkie aktualizacje na czas nieokreślony i zapominać o wynikającej z tego ekspozycji. 05 Ogranicz dostęp aplikacji i chroń odtwarzanie Uruchamiaj usługi z uprawnieniami, których potrzebują, i oddziel publiczne treści od sekretów oraz metadanych wdrożenia. Proces webowy nie powinien móc przepisywać każdego ustawienia systemowego. Trzymaj sekrety środowiskowe poza publicznie serwowanymi katalogami i unikaj umieszczania ich w logach, eksportach wsparcia lub ogólnych kopiach zapasowych bez zamierzonej polityki ochrony. Usuwaj nieużywane pakiety i usługi, gdy nie mają celu operacyjnego. Utrzymuj niezależną kopię zapasową i testuj przywracanie aplikacji do odizolowanego środowiska. Ogranicz poświadczenia kopii zapasowej, aby przejęta aplikacja nie mogła automatycznie usunąć każdej kopii odtwarzania. Monitoruj pojemność dysku, wiek kopii zapasowej i awarie usług. Logowanie powinno odpowiadać na zdefiniowane pytania operacyjne, z kontrolowanym dostępem i retencją; nie powinno stawać się nieograniczoną kopią wrażliwych żądań. 06 Sekwencja pierwszego wdrożenia, która pozostaje możliwa do przeglądu W przypadku nowego VPS najpierw zweryfikuj dostęp i odtwarzanie, a następnie ustanów konto administracyjne i przetestowany klucz. Skonfiguruj firewall, zastosuj aktualizacje i wdróż aplikację na jej zamierzonym koncie usługi. Potwierdź publiczne zachowanie z innego środowiska, sprawdź, że prywatnych plików nie można pobrać, i wykonaj przywracanie kopii zapasowej. Prowadź notatki o każdej decyzji i ścieżce odwrócenia zmiany dostępu. Vector VPS, Pulse NVMe i wybrane plany dedykowane przedstawiają wybory Linux w katalogu SwissOctet. Potwierdź wybrany obraz i podział prac utrzymaniowych przed złożeniem zamówienia. Żadna nazwa obrazu Linux nie dowodzi, że utwardzanie, aktualizacje lub kopie zapasowe są już zarządzane. Podstawa to zestaw kontroli, które konfigurujesz, weryfikujesz i nadal utrzymujesz wraz ze zmianami projektu. ZAMIEŃ TO W DZIAŁANIE Twoja praktyczna lista kontrolna. ✓ Zweryfikuj tożsamość hosta SSH i ścieżkę odtwarzania. ✓ Przetestuj indywidualny dostęp kluczem w drugiej sesji. ✓ Ogranicz nasłuchujące usługi i reguły firewalla. ✓ Przejrzyj zakres aktualizacji i zachowanie restartu. ✓ Oddziel sekrety od publicznych plików i uprawnień usług. ✓ Przetestuj niezależną kopię odtwarzania. Pobierz listę kontrolną CZĘSTE PYTANIA Szczegóły, które mają znaczenie. Czy powinienem natychmiast wyłączyć logowanie hasłem? + Najpierw ustanów i przetestuj zastępczy dostęp kluczem oraz ścieżkę odtwarzania. Następnie zmień uwierzytelnianie zgodnie z obsługiwaną konfiguracją. Czy zmiana portu SSH zastępuje utwardzanie? + Nie. Nie zastępuje silnego uwierzytelniania, ograniczonego dostępu, aktualizacji ani odpowiednich uprawnień konta. Czy automatyczne aktualizacje wystarczą dla każdej aplikacji? + Nie. Sprawdź dozwolone repozytoria, wymagania restartu i oprogramowanie zainstalowane poza procesem aktualizacji systemu. GŁÓWNE ŹRÓDŁA Przejdź do źródła. Te źródła wspierają koncepcje techniczne w tym przewodniku. Przed zmianą systemu produkcyjnego zapoznaj się z aktualną dokumentacją. Ubuntu Server: serwer OpenSSH ubuntu.com Ubuntu Server: firewalle ubuntu.com Ubuntu Server: automatyczne aktualizacje ubuntu.com Wskazówki redakcyjne SwissOctet. Przykłady są ilustracyjne. Specyfikacje usług, dostępne opcje i warunki umowne należy zweryfikować osobno. POŁĄCZ WIEDZĘ Powiązana infrastruktura. Vector VPS Szwajcaria Pulse NVMe Szwajcaria Metal EPYC Szwajcaria ZACHOWAJ WĄTEK Twoje następne notatki z terenu. Poznaj wszystkie przewodniki NOTATKA Z TERENU / 01 + Operacje dnia drugiego Praktyczne Zbuduj kopię zapasową, którą naprawdę możesz przywrócić Wybierz cel odzyskiwania, zabezpiecz niezależną kopię i przećwicz przywracanie, zanim incydent wymusi działanie. 4 min czytania Przeczytaj przewodnik NOTATKA Z TERENU / 02 + Operacje dnia drugiego Praktyczne Praktyczny model zagrożeń dla hostowanego projektu Zmapuj zasoby i granice zaufania, wybierz kilka realistycznych scenariuszy awarii i przekształć je w mechanizmy kontrolne, które możesz przetestować. 6 min czytania Przeczytaj przewodnik NOTATKA Z TERENU / 03 + Operacje dnia drugiego Praktyczne Bezpieczne administrowanie Windows RDP bez utraty dostępu Oddziel osiągalność sieciową, uwierzytelnianie i uprawnienia, a następnie zweryfikuj ścieżkę odzyskiwania, zanim ograniczysz dostęp zdalny. 6 min czytania Przeczytaj przewodnik