# พื้นฐานการเสริมความปลอดภัย Linux VPS ที่คุณดูแลได้ | SwissOctet Insights

https://swissoctet.com/th/insights/linux-vps-hardening-baseline/

SwissOctet / ข้อมูลเชิงลึก / การดำเนินงานวันที่สอง การดำเนินงานวันที่สอง ใช้งานจริง · 6 นาทีในการอ่าน

เกณฑ์พื้นฐานการเสริมความปลอดภัย Linux VPS ที่คุณดูแลรักษาได้

ดูแลระบบอย่างปลอดภัย เปิดเผยเฉพาะบริการที่จำเป็น และกำหนดการอัปเดตและการกู้คืนโดยไม่ล็อกตัวเองออก

โดย SwissOctet Editorial บันทึกคู่มือ คัดลอกลิงก์

ในหน้านี้ 01 สร้างจุดเริ่มต้นที่เชื่อถือได้ 02 ทำให้การเข้าถึง SSH เป็นไปอย่างตั้งใจ 03 เปิดเผยแอปพลิเคชัน ไม่ใช่ทั้งเครื่อง 04 วางแผนการอัปเดตเป็นกระบวนการดำเนินงาน 05 จำกัดการเข้าถึงแอปพลิเคชันและปกป้องการกู้คืน 06 ลำดับการติดตั้งครั้งแรกที่ตรวจสอบได้ รายการตรวจสอบปฏิบัติของคุณ แหล่งอ้างอิงและอ่านเพิ่มเติม กลับไปยังคลัง คำตอบตรงประเด็น เริ่มจากการเข้าถึงที่ตรวจสอบแล้วและเส้นทางการกู้คืน จากนั้นกำหนดค่าการดูแลส่วนบุคคล คีย์ SSH ที่ทดสอบแล้ว ไฟร์วอลล์ที่จำกัด ซอฟต์แวร์ที่ดูแลรักษา และการสำรองข้อมูลอิสระ ใช้การเปลี่ยนแปลงทีละอย่างและตรวจสอบเซสชันใหม่ก่อนปิดเซสชันเก่า

01 สร้างจุดเริ่มต้นที่เชื่อถือได้

ก่อนเปลี่ยนเครื่อง ยืนยันระบบปฏิบัติการที่คาดหวัง วิธีการเข้าถึง และเส้นทางการกู้คืน ตรวจสอบตัวตนโฮสต์ SSH ผ่านข้อมูลที่ได้รับอนุมัติจากผู้ให้บริการ แทนที่จะยอมรับคีย์ที่ไม่คาดคิดโดยไม่สอบสวน เก็บข้อมูลรับรองชั่วคราวไว้เป็นส่วนตัวและเปลี่ยนผ่านกระบวนการที่ตั้งใจไว้ บันทึกว่าบุคคลใดรับผิดชอบการบำรุงรักษาและตัวเลือกการกู้คืนใดที่มีจริงสำหรับบริการนี้

เปิดเซสชันการดูแลที่ใช้งานได้ไว้ขณะทำการเปลี่ยนแปลงการเข้าถึง สูตรเสริมความปลอดภัยที่คัดลอกมาอาจลบการเข้าสู่ระบบที่ใช้ได้เพียงทางเดียวเมื่อสมมติว่ามีการกระจายหรือโครงสร้างบัญชีที่ต่างออกไป ทำการเปลี่ยนแปลงทีละอย่าง ตรวจสอบผลที่ได้จริง และรักษาเส้นทางกลับ เป้าหมายคือระบบที่คุณดูแลได้อย่างปลอดภัย ไม่ใช่การกำหนดค่าที่ดูเข้มงวดแต่บริหารจัดการไม่ได้

02 ทำให้การเข้าถึง SSH เป็นไปอย่างตั้งใจ

สร้างสิทธิ์การเข้าถึงสำหรับผู้ดูแลระบบแบบเฉพาะบุคคลพร้อมสิทธิ์ที่เหมาะสม แทนการแชร์การเข้าสู่ระบบ root แบบถาวรเพียงรายการเดียว ติดตั้งและทดสอบคีย์สาธารณะที่ต้องการ โดยเก็บคีย์ส่วนตัวไว้ที่ปลายทางที่ได้รับอนุญาต เอกสาร Ubuntu OpenSSH อธิบายการกำหนดค่าเซิร์ฟเวอร์และตัวเลือกการรับรองความถูกต้อง อ่านการกำหนดค่าที่มีผลจริงสำหรับดิสทริบิวชันของคุณ รวมถึงไฟล์ที่ถูกรวมเข้ามา ก่อนที่จะสันนิษฐานว่าการแก้ไขการตั้งค่าเพียงรายการเดียวได้เปลี่ยนบริการทั้งหมด

ทดสอบการเข้าถึงด้วยคีย์ผ่านเซสชันที่สองก่อนที่จะเปลี่ยนการรับรองความถูกต้องด้วยรหัสผ่านหรือกฎการเข้าสู่ระบบแบบมีสิทธิ์ ตรวจสอบให้แน่ใจว่าบัญชีใหม่สามารถดำเนินการดูแลระบบที่จำเป็นได้ ตรวจสอบระบบอัตโนมัติใด ๆ ที่พึ่งพาวิธีก่อนหน้าและเปลี่ยนการเข้าถึงอย่างตั้งใจ คีย์คือข้อมูลรับรองการเข้าถึง ดังนั้นควรใช้ตำแหน่งจัดเก็บส่วนตัวและกระบวนการหมุนเวียน แทนการทิ้งสำเนาไว้ในไดเรกทอรีของแอปพลิเคชัน

03 เปิดเผยแอปพลิเคชัน ไม่ใช่ทั้งเครื่อง

จัดทำบัญชีบริการที่กำลังรับฟังและระบุว่าบริการใดต้องเปิดเผยต่อสาธารณะ แอปพลิเคชันเว็บอาจต้องใช้ HTTP และ HTTPS ในขณะที่ฐานข้อมูลของมันสามารถเข้าถึงได้เฉพาะผ่านเส้นทางภายในที่ต้องการเท่านั้น Ubuntu อธิบาย UFW ในฐานะเครื่องมือกำหนดค่าไฟร์วอลล์ แต่แนวนโยบายที่มีประโยชน์นั้นไม่ขึ้นกับเครื่องมือ: อนุญาตทราฟฟิกที่จำเป็นและจำกัดการดูแลระบบให้เฉพาะแหล่งที่ได้รับอนุมัติเมื่อทำได้จริง

ตรวจสอบทั้งการควบคุมระดับโฮสต์และระดับผู้ให้บริการ หากบริการนั้นมีให้ใช้ ก่อนเปิดใช้ชุดกฎที่เข้มงวด ให้อนุญาตเส้นทางการดูแลระบบที่ทดสอบแล้วและตรวจสอบการเข้าถึงจากเซสชันอื่น อย่าสันนิษฐานว่าการย้าย SSH ไปยังพอร์ตอื่นจะแทนที่การรับรองความถูกต้องหรือการแพตช์ ทำให้กฎไฟร์วอลล์เข้าใจได้ง่าย เพื่อให้การแก้ไขปัญหาในอนาคตไม่นำไปสู่การเปิดทุกพอร์ตเป็นวิธีเลี่ยง

การเปลี่ยนแปลง ตรวจสอบก่อนนำไปใช้ ตรวจสอบภายหลัง

คีย์ SSH ใหม่ บัญชีและคีย์สาธารณะที่ถูกต้อง เซสชันที่รับรองความถูกต้องด้วยคีย์ที่สองทำงานได้

ไฟร์วอลล์ที่จำกัด บริการที่จำเป็นและเส้นทางการกู้คืน แอปสาธารณะทำงานได้ พอร์ตที่ไม่ต้องการถูกปิด

การอัปเดตซอฟต์แวร์ ผลกระทบต่อการสำรองข้อมูลและการรีสตาร์ท บริการรีสตาร์ทและการทดสอบแอปพลิเคชันผ่าน

การเปลี่ยนแปลงสิทธิ์ของบริการ เส้นทางการอ่านและเขียนที่จำเป็น แอปทำงานได้โดยไม่ต้องเข้าถึงระบบในวงกว้าง

04 วางแผนการอัปเดตเป็นกระบวนการดำเนินงาน

ดูแลระบบและ dependencies ของแอปพลิเคชันให้เป็นปัจจุบัน คำแนะนำการอัปเดตอัตโนมัติของ Ubuntu อธิบายถึงการอัปเกรดแบบไม่ต้องดูแล แหล่งที่มาที่อนุญาต และพฤติกรรมการรีสตาร์ท ที่เก็บซอฟต์แวร์ของบุคคลที่สามไม่ได้ถูกครอบคลุมโดยอัตโนมัติเพียงเพราะถูกเพิ่มเข้าเครื่อง ตรวจสอบว่ากระบวนการอัปเดตที่กำหนดค่าไว้ครอบคลุมอะไรจริง ๆ และให้แอปพลิเคชันที่ติดตั้งแยกต่างหากมีเส้นทางการบำรุงรักษาของตัวเอง

ตัดสินใจว่าจะจัดการการรีสตาร์ทบริการและการรีบูตอย่างไร การนำการอัปเดตแพ็กเกจไปใช้ไม่ได้หมายความว่าทุกโปรเซสที่ทำงานอยู่จะใช้โค้ดใหม่เสมอไป ใช้ช่วงเวลาบำรุงรักษาเมื่อภาระงานต้องการ และทำการตรวจสอบแอปพลิเคชันง่าย ๆ ภายหลัง หากแพ็กเกจต้องมีขั้นตอนการย้ายข้อมูลด้วยตนเอง ให้จัดทำเอกสารขั้นตอนเหล่านั้น แทนการปิดการอัปเดตทั้งหมดอย่างไม่มีกำหนดและลืมความเสี่ยงที่เกิดขึ้น

05 จำกัดการเข้าถึงแอปพลิเคชันและปกป้องการกู้คืน

เรียกใช้บริการด้วยสิทธิ์ที่จำเป็น และแยกเนื้อหาสาธารณะออกจากความลับและข้อมูลเมตาของการปรับใช้ โปรเซสเว็บไม่ควรสามารถเขียนทับการตั้งค่าระบบทั้งหมดได้ เก็บความลับของสภาพแวดล้อมไว้นอกไดเรกทอรีที่ให้บริการสาธารณะ และหลีกเลี่ยงการรวมไว้ในบันทึก การส่งออกเพื่อสนับสนุน หรือการสำรองข้อมูลทั่วไปโดยไม่มีนโยบายการป้องกันที่ตั้งใจไว้ ลบแพ็กเกจและบริการที่ไม่ได้ใช้ออกเมื่อไม่มีวัตถุประสงค์ในการดำเนินงาน

ดูแลการสำรองข้อมูลที่เป็นอิสระและทดสอบการกู้คืนแอปพลิเคชันเข้าสู่สภาพแวดล้อมที่แยกออกมา จำกัดข้อมูลรับรองการสำรองข้อมูล เพื่อให้แอปพลิเคชันที่ถูกบุกรุกไม่สามารถลบสำเนาการกู้คืนทั้งหมดได้โดยอัตโนมัติ ตรวจสอบความจุของดิสก์ อายุการสำรองข้อมูล และความล้มเหลวของบริการ การบันทึกควรตอบคำถามด้านการดำเนินงานที่กำหนดไว้ โดยควบคุมการเข้าถึงและการเก็บรักษา ไม่ควรกลายเป็นสำเนาแบบไม่จำกัดของคำขอที่มีข้อมูลอ่อนไหว

06 ลำดับการติดตั้งครั้งแรกที่ตรวจสอบได้

สำหรับ VPS ใหม่ ขั้นแรกให้ตรวจสอบการเข้าถึงและการกู้คืน จากนั้นสร้างบัญชีผู้ดูแลระบบและคีย์ที่ทดสอบแล้ว กำหนดค่าไฟร์วอลล์ นำการอัปเดตไปใช้ และปรับใช้แอปพลิเคชันภายใต้บัญชีบริการที่ต้องการ ยืนยันพฤติกรรมสาธารณะจากสภาพแวดล้อมอื่น ตรวจสอบว่าไฟล์ส่วนตัวไม่สามารถถูกเรียกดูได้ และทำการกู้คืนจากการสำรองข้อมูล เก็บบันทึกเกี่ยวกับการตัดสินใจแต่ละครั้งและเส้นทางสำหรับย้อนกลับการเปลี่ยนแปลงการเข้าถึง

Vector VPS, Pulse NVMe และแผนเฉพาะที่เลือกไว้ นำเสนอตัวเลือก Linux ในแค็ตตาล็อก SwissOctet ยืนยันอิมเมจที่เลือกและการแบ่งงานบำรุงรักษาก่อนสั่งซื้อ ไม่มีชื่ออิมเมจ Linux ใดที่พิสูจน์ได้ว่าการเสริมความปลอดภัย การอัปเดต หรือการสำรองข้อมูลได้รับการจัดการแล้ว เกณฑ์พื้นฐานคือชุดการควบคุมที่คุณกำหนดค่า ตรวจสอบ และบำรุงรักษาต่อไปเมื่อโครงการเปลี่ยนแปลง

เปลี่ยนเป็น行動 รายการตรวจสอบปฏิบัติของคุณ

✓ ตรวจสอบตัวตนโฮสต์ SSH และเส้นทางการกู้คืน

✓ ทดสอบการเข้าถึงด้วยคีย์เฉพาะบุคคลในเซสชันที่สอง

✓ จำกัดบริการที่รับฟังและกฎไฟร์วอลล์

✓ ตรวจสอบความครอบคลุมของการอัปเดตและพฤติกรรมการรีสตาร์ท

✓ แยกความลับออกจากไฟล์สาธารณะและสิทธิ์ของบริการ

✓ ทดสอบสำเนาการกู้คืนที่เป็นอิสระ

ดาวน์โหลดรายการตรวจสอบ

คำถามที่พบบ่อย รายละเอียดที่สำคัญ

ฉันควรปิดการเข้าสู่ระบบด้วยรหัสผ่านทันทีหรือไม่ +

ขั้นแรกให้สร้างและทดสอบการเข้าถึงด้วยคีย์ทดแทนและเส้นทางการกู้คืน จากนั้นเปลี่ยนการรับรองความถูกต้องตามการกำหนดค่าที่รองรับของคุณ

การเปลี่ยนพอร์ต SSH แทนการเสริมความปลอดภัยได้หรือไม่ +

ไม่ได้ มันไม่ได้แทนที่การรับรองความถูกต้องที่แข็งแกร่ง การจำกัดการเข้าถึง การอัปเดต หรือสิทธิ์บัญชีที่เหมาะสม

การอัปเดตอัตโนมัติเพียงพอสำหรับทุกแอปพลิเคชันหรือไม่ +

ไม่เพียงพอ ตรวจสอบที่เก็บที่อนุญาต ข้อกำหนดการรีสตาร์ท และซอฟต์แวร์ที่ติดตั้งนอกกระบวนการอัปเดตของระบบ

แหล่งอ้างอิงหลัก ไปที่ต้นทาง

แหล่งอ้างอิงเหล่านี้สนับสนุนแนวคิดทางเทคนิคในคู่มือนี้ ปฏิบัติตามเอกสารปัจจุบันก่อนเปลี่ยนระบบโปรดักชัน

Ubuntu Server: เซิร์ฟเวอร์ OpenSSH ubuntu.com

Ubuntu Server: ไฟร์วอลล์ ubuntu.com

Ubuntu Server: การอัปเดตอัตโนมัติ ubuntu.com

คำแนะนำด้านบรรณาธิการโดย SwissOctet ตัวอย่างมีไว้เพื่อประกอบ ข้อมูลจำเพาะของบริการ ตัวเลือกที่มี และเงื่อนไขตามสัญญาต้องได้รับการตรวจสอบแยกต่างหาก

เชื่อมโยงความรู้ โครงสร้างพื้นฐานที่เกี่ยวข้อง

Vector VPS สวิตเซอร์แลนด์ Pulse NVMe สวิตเซอร์แลนด์ Metal EPYC สวิตเซอร์แลนด์

รักษาสายไว้ บันทึกภาคสนามถัดไปของคุณ

สำรวจทุกคู่มือ

บันทึกภาคสนาม / 01

+

การดำเนินงานวันที่สอง ประยุกต์

สร้างการสำรองข้อมูลที่คุณกู้คืนได้จริง

เลือกเป้าหมายการกู้คืน ปกป้องสำเนาอิสระ และฝึกการกู้คืนก่อนที่เหตุการณ์จะบังคับให้ต้องทำ

อ่าน 4 นาที อ่านคู่มือ

บันทึกภาคสนาม / 02

+

การดำเนินงานวันที่สอง ประยุกต์

แบบจำลองภัยคุกคามเชิงปฏิบัติสำหรับโครงการโฮสติ้งของคุณ

จัดทำแผนผังทรัพย์สินและขอบเขตความเชื่อถือ เลือกสถานการณ์ความล้มเหลวที่สมจริงไม่กี่กรณี แล้วเปลี่ยนให้เป็นมาตรการควบคุมที่คุณทดสอบได้

อ่าน 6 นาที อ่านคู่มือ

บันทึกภาคสนาม / 03

+

การดำเนินงานวันที่สอง ประยุกต์

การดูแลระบบ Windows RDP อย่างปลอดภัยโดยไม่สูญเสียการเข้าถึง

แยกการเข้าถึงเครือข่าย การพิสูจน์ตัวตน และสิทธิ์ออกจากกัน จากนั้นยืนยันเส้นทางกู้คืนก่อนจำกัดการเข้าถึงระยะไกล

อ่าน 6 นาที อ่านคู่มือ