Почніть із перевіреного доступу та шляху відновлення, потім налаштуйте індивідуальне адміністрування, перевірені ключі SSH, обмежувальний брандмауер, підтримуване програмне забезпечення та незалежні резервні копії. Застосовуйте зміни поступово й перевіряйте нову сесію, перш ніж закрити стару.
Встановіть надійну відправну точку
Перш ніж змінювати машину, підтвердьте очікувану операційну систему, метод доступу та шлях відновлення. Перевірте ідентичність хоста SSH через затверджену оператором інформацію, а не приймайте несподіваний ключ без дослідження. Тримайте тимчасові облікові дані приватними та замінюйте їх через передбачений процес. Запишіть, яка особа відповідає за обслуговування та які варіанти відновлення фактично доступні для цієї послуги.
Тримайте робочу сесію адміністрування відкритою, вносячи зміни доступу. Скопійований рецепт зміцнення може видалити єдиний робочий вхід, якщо він припускає інший дистрибутив або структуру облікових записів. Вносьте по одній зміні за раз, перевіряйте її фактичний результат і зберігайте шлях назад. Мета — система, яку ви можете безпечно обслуговувати, а не конфігурація, яка виглядає суворо, але нею неможливо керувати.
Зробіть доступ до SSH навмисним
Створіть індивідуальний адміністративний доступ із відповідними привілеями замість спільного постійного входу root. Встановіть і перевірте потрібний відкритий ключ, зберігаючи закритий ключ на авторизованій кінцевій точці. Документація Ubuntu OpenSSH пояснює налаштування сервера та варіанти автентифікації. Прочитайте чинну конфігурацію для вашого дистрибутива, включно з включеними файлами, перш ніж вважати, що редагування одного параметра змінило всю службу.
Перевірте доступ за ключем через другу сесію, перш ніж змінювати автентифікацію паролем або правила привілейованого входу. Переконайтеся, що новий обліковий запис може виконувати потрібне адміністрування. Перегляньте будь-яку автоматизацію, яка залежить від попереднього методу, і свідомо замініть її доступ. Ключ є обліковими даними доступу, тому використовуйте приватне місце зберігання та процес ротації, а не залишайте копії в каталогах застосунків.
Відкривайте застосунок, а не всю машину
Проведіть інвентаризацію служб, що прослуховують порти, і визначте, які мають бути публічними. Вебзастосунку можуть знадобитися HTTP і HTTPS, тоді як його база даних може залишатися доступною лише через призначений внутрішній шлях. Ubuntu документує UFW як інструмент налаштування брандмауера, але корисна політика не залежить від інструменту: дозвольте потрібний трафік і обмежте адміністрування схваленими джерелами, де це практично можливо.
Перевіряйте як засоби на рівні хоста, так і на рівні провайдера, якщо служба їх включає. Перш ніж увімкнути обмежувальний набір правил, дозвольте перевірений шлях адміністрування та перевірте доступ з іншої сесії. Не вважайте, що перенесення SSH на інший порт замінює автентифікацію чи виправлення. Тримайте правила брандмауера зрозумілими, щоб майбутнє усунення несправностей не призвело до відкриття всіх портів як обхідного рішення.
| Змінити | Перевірте перед застосуванням | Перевірте після |
|---|---|---|
| Новий ключ SSH | Правильний обліковий запис і відкритий ключ | Друга сесія з автентифікацією за ключем працює |
| Обмежений брандмауер | Потрібна служба та шляхи відновлення | Публічний застосунок працює; ненавмисні порти закрито |
| Оновлення програмного забезпечення | Наслідки для резервного копіювання та перезапуску | Служби перезапускаються, і тести застосунку проходять |
| Зміна дозволів служби | Потрібні шляхи читання та запису | Застосунок працює без ширшого доступу до системи |
Плануйте оновлення як операційний процес
Підтримуйте систему та залежності застосунку в актуальному стані. Настанови Ubuntu щодо автоматичного оновлення описують необслуговувані оновлення, дозволені джерела та поведінку перезапуску. Сторонній репозиторій не покривається автоматично лише тому, що його додано до машини. Перегляньте, що насправді включає налаштований процес оновлення, і надайте окремо встановленим застосункам власний шлях обслуговування.
Вирішіть, як оброблятимуться перезапуски служб і перезавантаження. Застосування оновлення пакета не завжди означає, що кожен запущений процес використовує новий код. Використовуйте вікно обслуговування, де цього потребує робоче навантаження, і після цього виконайте просту перевірку застосунку. Якщо пакет потребує ручних кроків міграції, задокументуйте їх, а не вимикайте всі оновлення на невизначений час і не забувайте про отриману вразливість.
Обмежте доступ до застосунку та захистіть відновлення
Запускайте служби з потрібними їм дозволами та відокремлюйте публічний вміст від секретів і метаданих розгортання. Вебпроцес не повинен мати змоги переписувати всі системні налаштування. Тримайте секрети середовища поза публічно доступними каталогами та не включайте їх до журналів, експортів підтримки чи загальних резервних копій без навмисної політики захисту. Видаляйте невикористані пакети та служби, коли вони не мають операційного призначення.
Підтримуйте незалежну резервну копію та перевіряйте відновлення застосунку в ізольованому середовищі. Обмежте облікові дані резервного копіювання, щоб скомпрометований застосунок не міг автоматично видалити кожну копію відновлення. Відстежуйте місткість диска, вік резервних копій і збої служб. Журналювання має відповідати на визначені операційні питання, з контрольованим доступом і зберіганням; воно не повинно ставати необмеженою копією чутливих запитів.
Послідовність першого розгортання, яка залишається контрольованою
Для нового VPS спершу перевірте доступ і відновлення, потім створіть адміністративний обліковий запис і перевірений ключ. Налаштуйте брандмауер, застосуйте оновлення та розгорніть застосунок під призначеним службовим обліковим записом. Підтвердьте публічну поведінку з іншого середовища, перевірте, що приватні файли неможливо отримати, і виконайте відновлення з резервної копії. Зберігайте нотатки про кожне рішення та шлях скасування зміни доступу.
Vector VPS, Pulse NVMe і вибрані спеціалізовані плани пропонують варіанти Linux у каталозі SwissOctet. Підтвердьте вибраний образ і розподіл робіт з обслуговування перед замовленням. Жодна назва образу Linux не доводить, що посилення захисту, оновлення чи резервні копії вже керуються. Базовий рівень — це набір засобів контролю, які ви налаштовуєте, перевіряєте та продовжуєте підтримувати в міру зміни проєкту.
Ваш практичний контрольний список.
- Перевірте ідентичність хоста SSH і шлях відновлення.
- Перевірте індивідуальний доступ за ключем у другій сесії.
- Обмежте служби, що прослуховують порти, і правила брандмауера.
- Перегляньте покриття оновлень і поведінку перезапуску.
- Відокремте секрети від публічних файлів і дозволів служби.
- Перевірте незалежну копію відновлення.
Деталі, які мають значення.
Чи слід негайно вимкнути вхід за паролем?+
Спершу встановіть і перевірте заміну доступу за ключем і шлях відновлення. Потім змініть автентифікацію відповідно до вашої підтримуваної конфігурації.
Чи замінює зміна порту SSH посилення захисту?+
Ні. Це не замінює надійну автентифікацію, обмежений доступ, оновлення чи належні привілеї облікового запису.
Чи достатньо автоматичних оновлень для кожного застосунку?+
Ні. Перевірте дозволені репозиторії, вимоги до перезапуску та програмне забезпечення, встановлене поза системним процесом оновлення.
Перейдіть до джерела.
Ці джерела підкріплюють технічні концепції в цьому посібнику. Дотримуйтеся поточної документації перед зміною робочої системи.
- Ubuntu Server: сервер OpenSSH ubuntu.com
- Ubuntu Server: брандмауери ubuntu.com
- Ubuntu Server: автоматичні оновлення ubuntu.com
Редакційне керівництво від SwissOctet. Приклади є ілюстративними. Специфікації послуг, доступні опції та договірні умови потрібно перевіряти окремо.