เริ่มจากการเข้าถึงที่ตรวจสอบแล้วและเส้นทางการกู้คืน จากนั้นกำหนดค่าการดูแลส่วนบุคคล คีย์ SSH ที่ทดสอบแล้ว ไฟร์วอลล์ที่จำกัด ซอฟต์แวร์ที่ดูแลรักษา และการสำรองข้อมูลอิสระ ใช้การเปลี่ยนแปลงทีละอย่างและตรวจสอบเซสชันใหม่ก่อนปิดเซสชันเก่า
สร้างจุดเริ่มต้นที่เชื่อถือได้
ก่อนเปลี่ยนเครื่อง ยืนยันระบบปฏิบัติการที่คาดหวัง วิธีการเข้าถึง และเส้นทางการกู้คืน ตรวจสอบตัวตนโฮสต์ SSH ผ่านข้อมูลที่ได้รับอนุมัติจากผู้ให้บริการ แทนที่จะยอมรับคีย์ที่ไม่คาดคิดโดยไม่สอบสวน เก็บข้อมูลรับรองชั่วคราวไว้เป็นส่วนตัวและเปลี่ยนผ่านกระบวนการที่ตั้งใจไว้ บันทึกว่าบุคคลใดรับผิดชอบการบำรุงรักษาและตัวเลือกการกู้คืนใดที่มีจริงสำหรับบริการนี้
เปิดเซสชันการดูแลที่ใช้งานได้ไว้ขณะทำการเปลี่ยนแปลงการเข้าถึง สูตรเสริมความปลอดภัยที่คัดลอกมาอาจลบการเข้าสู่ระบบที่ใช้ได้เพียงทางเดียวเมื่อสมมติว่ามีการกระจายหรือโครงสร้างบัญชีที่ต่างออกไป ทำการเปลี่ยนแปลงทีละอย่าง ตรวจสอบผลที่ได้จริง และรักษาเส้นทางกลับ เป้าหมายคือระบบที่คุณดูแลได้อย่างปลอดภัย ไม่ใช่การกำหนดค่าที่ดูเข้มงวดแต่บริหารจัดการไม่ได้
ทำให้การเข้าถึง SSH เป็นไปอย่างตั้งใจ
สร้างสิทธิ์การเข้าถึงสำหรับผู้ดูแลระบบแบบเฉพาะบุคคลพร้อมสิทธิ์ที่เหมาะสม แทนการแชร์การเข้าสู่ระบบ root แบบถาวรเพียงรายการเดียว ติดตั้งและทดสอบคีย์สาธารณะที่ต้องการ โดยเก็บคีย์ส่วนตัวไว้ที่ปลายทางที่ได้รับอนุญาต เอกสาร Ubuntu OpenSSH อธิบายการกำหนดค่าเซิร์ฟเวอร์และตัวเลือกการรับรองความถูกต้อง อ่านการกำหนดค่าที่มีผลจริงสำหรับดิสทริบิวชันของคุณ รวมถึงไฟล์ที่ถูกรวมเข้ามา ก่อนที่จะสันนิษฐานว่าการแก้ไขการตั้งค่าเพียงรายการเดียวได้เปลี่ยนบริการทั้งหมด
ทดสอบการเข้าถึงด้วยคีย์ผ่านเซสชันที่สองก่อนที่จะเปลี่ยนการรับรองความถูกต้องด้วยรหัสผ่านหรือกฎการเข้าสู่ระบบแบบมีสิทธิ์ ตรวจสอบให้แน่ใจว่าบัญชีใหม่สามารถดำเนินการดูแลระบบที่จำเป็นได้ ตรวจสอบระบบอัตโนมัติใด ๆ ที่พึ่งพาวิธีก่อนหน้าและเปลี่ยนการเข้าถึงอย่างตั้งใจ คีย์คือข้อมูลรับรองการเข้าถึง ดังนั้นควรใช้ตำแหน่งจัดเก็บส่วนตัวและกระบวนการหมุนเวียน แทนการทิ้งสำเนาไว้ในไดเรกทอรีของแอปพลิเคชัน
เปิดเผยแอปพลิเคชัน ไม่ใช่ทั้งเครื่อง
จัดทำบัญชีบริการที่กำลังรับฟังและระบุว่าบริการใดต้องเปิดเผยต่อสาธารณะ แอปพลิเคชันเว็บอาจต้องใช้ HTTP และ HTTPS ในขณะที่ฐานข้อมูลของมันสามารถเข้าถึงได้เฉพาะผ่านเส้นทางภายในที่ต้องการเท่านั้น Ubuntu อธิบาย UFW ในฐานะเครื่องมือกำหนดค่าไฟร์วอลล์ แต่แนวนโยบายที่มีประโยชน์นั้นไม่ขึ้นกับเครื่องมือ: อนุญาตทราฟฟิกที่จำเป็นและจำกัดการดูแลระบบให้เฉพาะแหล่งที่ได้รับอนุมัติเมื่อทำได้จริง
ตรวจสอบทั้งการควบคุมระดับโฮสต์และระดับผู้ให้บริการ หากบริการนั้นมีให้ใช้ ก่อนเปิดใช้ชุดกฎที่เข้มงวด ให้อนุญาตเส้นทางการดูแลระบบที่ทดสอบแล้วและตรวจสอบการเข้าถึงจากเซสชันอื่น อย่าสันนิษฐานว่าการย้าย SSH ไปยังพอร์ตอื่นจะแทนที่การรับรองความถูกต้องหรือการแพตช์ ทำให้กฎไฟร์วอลล์เข้าใจได้ง่าย เพื่อให้การแก้ไขปัญหาในอนาคตไม่นำไปสู่การเปิดทุกพอร์ตเป็นวิธีเลี่ยง
| การเปลี่ยนแปลง | ตรวจสอบก่อนนำไปใช้ | ตรวจสอบภายหลัง |
|---|---|---|
| คีย์ SSH ใหม่ | บัญชีและคีย์สาธารณะที่ถูกต้อง | เซสชันที่รับรองความถูกต้องด้วยคีย์ที่สองทำงานได้ |
| ไฟร์วอลล์ที่จำกัด | บริการที่จำเป็นและเส้นทางการกู้คืน | แอปสาธารณะทำงานได้ พอร์ตที่ไม่ต้องการถูกปิด |
| การอัปเดตซอฟต์แวร์ | ผลกระทบต่อการสำรองข้อมูลและการรีสตาร์ท | บริการรีสตาร์ทและการทดสอบแอปพลิเคชันผ่าน |
| การเปลี่ยนแปลงสิทธิ์ของบริการ | เส้นทางการอ่านและเขียนที่จำเป็น | แอปทำงานได้โดยไม่ต้องเข้าถึงระบบในวงกว้าง |
วางแผนการอัปเดตเป็นกระบวนการดำเนินงาน
ดูแลระบบและ dependencies ของแอปพลิเคชันให้เป็นปัจจุบัน คำแนะนำการอัปเดตอัตโนมัติของ Ubuntu อธิบายถึงการอัปเกรดแบบไม่ต้องดูแล แหล่งที่มาที่อนุญาต และพฤติกรรมการรีสตาร์ท ที่เก็บซอฟต์แวร์ของบุคคลที่สามไม่ได้ถูกครอบคลุมโดยอัตโนมัติเพียงเพราะถูกเพิ่มเข้าเครื่อง ตรวจสอบว่ากระบวนการอัปเดตที่กำหนดค่าไว้ครอบคลุมอะไรจริง ๆ และให้แอปพลิเคชันที่ติดตั้งแยกต่างหากมีเส้นทางการบำรุงรักษาของตัวเอง
ตัดสินใจว่าจะจัดการการรีสตาร์ทบริการและการรีบูตอย่างไร การนำการอัปเดตแพ็กเกจไปใช้ไม่ได้หมายความว่าทุกโปรเซสที่ทำงานอยู่จะใช้โค้ดใหม่เสมอไป ใช้ช่วงเวลาบำรุงรักษาเมื่อภาระงานต้องการ และทำการตรวจสอบแอปพลิเคชันง่าย ๆ ภายหลัง หากแพ็กเกจต้องมีขั้นตอนการย้ายข้อมูลด้วยตนเอง ให้จัดทำเอกสารขั้นตอนเหล่านั้น แทนการปิดการอัปเดตทั้งหมดอย่างไม่มีกำหนดและลืมความเสี่ยงที่เกิดขึ้น
จำกัดการเข้าถึงแอปพลิเคชันและปกป้องการกู้คืน
เรียกใช้บริการด้วยสิทธิ์ที่จำเป็น และแยกเนื้อหาสาธารณะออกจากความลับและข้อมูลเมตาของการปรับใช้ โปรเซสเว็บไม่ควรสามารถเขียนทับการตั้งค่าระบบทั้งหมดได้ เก็บความลับของสภาพแวดล้อมไว้นอกไดเรกทอรีที่ให้บริการสาธารณะ และหลีกเลี่ยงการรวมไว้ในบันทึก การส่งออกเพื่อสนับสนุน หรือการสำรองข้อมูลทั่วไปโดยไม่มีนโยบายการป้องกันที่ตั้งใจไว้ ลบแพ็กเกจและบริการที่ไม่ได้ใช้ออกเมื่อไม่มีวัตถุประสงค์ในการดำเนินงาน
ดูแลการสำรองข้อมูลที่เป็นอิสระและทดสอบการกู้คืนแอปพลิเคชันเข้าสู่สภาพแวดล้อมที่แยกออกมา จำกัดข้อมูลรับรองการสำรองข้อมูล เพื่อให้แอปพลิเคชันที่ถูกบุกรุกไม่สามารถลบสำเนาการกู้คืนทั้งหมดได้โดยอัตโนมัติ ตรวจสอบความจุของดิสก์ อายุการสำรองข้อมูล และความล้มเหลวของบริการ การบันทึกควรตอบคำถามด้านการดำเนินงานที่กำหนดไว้ โดยควบคุมการเข้าถึงและการเก็บรักษา ไม่ควรกลายเป็นสำเนาแบบไม่จำกัดของคำขอที่มีข้อมูลอ่อนไหว
ลำดับการติดตั้งครั้งแรกที่ตรวจสอบได้
สำหรับ VPS ใหม่ ขั้นแรกให้ตรวจสอบการเข้าถึงและการกู้คืน จากนั้นสร้างบัญชีผู้ดูแลระบบและคีย์ที่ทดสอบแล้ว กำหนดค่าไฟร์วอลล์ นำการอัปเดตไปใช้ และปรับใช้แอปพลิเคชันภายใต้บัญชีบริการที่ต้องการ ยืนยันพฤติกรรมสาธารณะจากสภาพแวดล้อมอื่น ตรวจสอบว่าไฟล์ส่วนตัวไม่สามารถถูกเรียกดูได้ และทำการกู้คืนจากการสำรองข้อมูล เก็บบันทึกเกี่ยวกับการตัดสินใจแต่ละครั้งและเส้นทางสำหรับย้อนกลับการเปลี่ยนแปลงการเข้าถึง
Vector VPS, Pulse NVMe และแผนเฉพาะที่เลือกไว้ นำเสนอตัวเลือก Linux ในแค็ตตาล็อก SwissOctet ยืนยันอิมเมจที่เลือกและการแบ่งงานบำรุงรักษาก่อนสั่งซื้อ ไม่มีชื่ออิมเมจ Linux ใดที่พิสูจน์ได้ว่าการเสริมความปลอดภัย การอัปเดต หรือการสำรองข้อมูลได้รับการจัดการแล้ว เกณฑ์พื้นฐานคือชุดการควบคุมที่คุณกำหนดค่า ตรวจสอบ และบำรุงรักษาต่อไปเมื่อโครงการเปลี่ยนแปลง
รายการตรวจสอบปฏิบัติของคุณ
- ตรวจสอบตัวตนโฮสต์ SSH และเส้นทางการกู้คืน
- ทดสอบการเข้าถึงด้วยคีย์เฉพาะบุคคลในเซสชันที่สอง
- จำกัดบริการที่รับฟังและกฎไฟร์วอลล์
- ตรวจสอบความครอบคลุมของการอัปเดตและพฤติกรรมการรีสตาร์ท
- แยกความลับออกจากไฟล์สาธารณะและสิทธิ์ของบริการ
- ทดสอบสำเนาการกู้คืนที่เป็นอิสระ
รายละเอียดที่สำคัญ
ฉันควรปิดการเข้าสู่ระบบด้วยรหัสผ่านทันทีหรือไม่+
ขั้นแรกให้สร้างและทดสอบการเข้าถึงด้วยคีย์ทดแทนและเส้นทางการกู้คืน จากนั้นเปลี่ยนการรับรองความถูกต้องตามการกำหนดค่าที่รองรับของคุณ
การเปลี่ยนพอร์ต SSH แทนการเสริมความปลอดภัยได้หรือไม่+
ไม่ได้ มันไม่ได้แทนที่การรับรองความถูกต้องที่แข็งแกร่ง การจำกัดการเข้าถึง การอัปเดต หรือสิทธิ์บัญชีที่เหมาะสม
การอัปเดตอัตโนมัติเพียงพอสำหรับทุกแอปพลิเคชันหรือไม่+
ไม่เพียงพอ ตรวจสอบที่เก็บที่อนุญาต ข้อกำหนดการรีสตาร์ท และซอฟต์แวร์ที่ติดตั้งนอกกระบวนการอัปเดตของระบบ
ไปที่ต้นทาง
แหล่งอ้างอิงเหล่านี้สนับสนุนแนวคิดทางเทคนิคในคู่มือนี้ ปฏิบัติตามเอกสารปัจจุบันก่อนเปลี่ยนระบบโปรดักชัน
- Ubuntu Server: เซิร์ฟเวอร์ OpenSSH ubuntu.com
- Ubuntu Server: ไฟร์วอลล์ ubuntu.com
- Ubuntu Server: การอัปเดตอัตโนมัติ ubuntu.com
คำแนะนำด้านบรรณาธิการโดย SwissOctet ตัวอย่างมีไว้เพื่อประกอบ ข้อมูลจำเพาะของบริการ ตัวเลือกที่มี และเงื่อนไขตามสัญญาต้องได้รับการตรวจสอบแยกต่างหาก