Ghid practic pentru securizarea VPS: 15 pași esențiali de securitate pentru servere Linux

Implementarea unui nou Server Privat Virtual (VPS) este un moment interesant. Este o pânză goală, un spațiu puternic și privat pe internet, gata pentru a vă construi următorul proiect. Cu toate acestea, o instalare implicită a unui server Linux este ca o casă nouă cu încuietori setate din fabrică pe uși; este funcțională, dar nu este cu adevărat sigură. În fiecare zi, boții automați și actorii rău intenționați scanează internetul în căutarea serverelor nou implementate, sondându-le pentru vulnerabilități comune lăsate deschise în mod implicit. Lăsarea VPS-ului în starea sa inițială este o invitație deschisă la probleme. Adevărata securitate a serverului nu constă într-o singură soluție magică; este vorba despre un proces sistematic de construire a straturilor de apărare. Acest lucru este cunoscut sub numele de "întărirea serverului" (server hardening).

Acest ghid cuprinzător este conceput pentru a fi lista dumneavoastră de verificare esențială pentru securitatea serverelor Linux. Vă vom ghida prin 15 pași esențiali pentru a transforma noul dumneavoastră VPS vulnerabil într-o fortăreață întărită și rezistentă. Aceste practici reprezintă fundamentul administrării profesionale a sistemelor și sunt critice pentru protejarea datelor, aplicațiilor și reputației dumneavoastră. Indiferent dacă sunteți un începător care lansează primul site WordPress sau un dezvoltator experimentat care configurează o aplicație complexă, urmarea acestui ghid va îmbunătăți dramatic postura de securitate a serverului dumneavoastră. Vom acoperi totul, de la managementul de bază al utilizatorilor și configurarea firewall-ului, până la actualizări automate și detectarea intruziunilor, oferind explicații clare și comenzile exacte pe care trebuie să le executați pe parcurs.

Lista de verificare în 15 pași pentru securizarea VPS

Înainte de a începe, asigurați-vă că sunteți conectat la server ca utilizator root. Acești pași inițiali se efectuează cel mai bine cu privilegii de root înainte de a bloca acel cont.

Pasul 1: Actualizați software-ul de sistem

Primul pas pe orice server nou este să vă asigurați că tot software-ul instalat este la zi. Imaginea sistemului de operare pe care o folosește furnizorul dumneavoastră ar putea avea câteva săptămâni sau luni vechime, ceea ce înseamnă că ar putea lipsi patch-uri de securitate critice. Rularea unei actualizări și a unui upgrade vă asigură că porniți de la o bază sigură și actuală.

Pentru sistemele Debian/Ubuntu:

apt update && apt upgrade -y

Pentru sistemele CentOS/AlmaLinux/Rocky Linux:

dnf update -y

Pasul 2: Creați un utilizator nou cu privilegii sudo

Operarea continuă ca utilizator root este periculoasă. O singură greșeală sau o eroare de tastare poate avea consecințe catastrofale. Cea mai bună practică este să creați un utilizator nou, non-root, pentru sarcinile zilnice și să îi acordați privilegii 'sudo', ceea ce îi permite să execute acțiuni administrative atunci când este necesar, prefixând comenzile cu sudo.

# Creați noul utilizator (înlocuiți 'utilizatorultau' cu numele de utilizator dorit)
adduser utilizatorultau

# Adăugați utilizatorul la grupul 'sudo' (Debian/Ubuntu) sau 'wheel' (CentOS/AlmaLinux)
# Pentru Debian/Ubuntu:
usermod -aG sudo utilizatorultau

# Pentru CentOS/AlmaLinux:
usermod -aG wheel utilizatorultau

Pasul 3: Configurați autentificarea cu cheie SSH

Autentificarea bazată pe parolă este vulnerabilă la atacuri de tip brute-force. Autentificarea cu cheie SSH este o metodă mult mai sigură. Aceasta folosește o pereche de chei criptografice: o cheie privată pe care o păstrați pe computerul local și o cheie publică pe care o plasați pe server. Serverul va permite conexiuni doar de la cineva care deține cheia privată corespunzătoare.

Mai întâi, de pe computerul dumneavoastră local, generați o pereche de chei SSH dacă nu aveți una:

ssh-keygen -t rsa -b 4096

Apoi, copiați cheia publică la noul utilizator de pe server (înlocuiți 'utilizatorultau' și 'ip_server_tau'):

ssh-copy-id utilizatorultau@ip_server_tau

Acum vă puteți conecta la server ca noul utilizator fără parolă.

Pasul 4: Dezactivați autentificarea root și pe bază de parolă prin SSH

Acum că aveți un utilizator sudo cu acces prin cheie SSH, ar trebui să dezactivați complet autentificarea directă ca root și autentificarea pe bază de parolă. Acest lucru reduce semnificativ suprafața de atac a serverului dumneavoastră.

Deschideți fișierul de configurare SSH cu un editor de text:

sudo nano /etc/ssh/sshd_config

Găsiți și modificați următoarele linii. Este posibil să trebuiască să le decomentați (să eliminați #) și să schimbați 'yes' în 'no'.

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
ChallengeResponseAuthentication no

Salvați fișierul și reporniți serviciul SSH pentru a aplica modificările:

sudo systemctl restart sshd

Pasul 5: Schimbați portul SSH implicit

Boții automați scanează porturile SSH deschise pe portul implicit 22. Deși aceasta este securitate prin obscuritate, schimbarea portului poate reduce semnificativ numărul de încercări de autentificare automate înregistrate pe serverul dumneavoastră. Alegeți un număr de port între 1024 și 65535.

În același fișier /etc/ssh/sshd_config, găsiți linia #Port 22. Decomentați-o și schimbați 22 cu portul ales de dumneavoastră (de ex., Port 2255). Salvați fișierul și reporniți din nou SSH.

Important: Înainte de a vă deconecta, asigurați-vă că actualizați firewall-ul pentru a permite noul port! De asemenea, va trebui să specificați noul port atunci când vă conectați în viitor: ssh -p 2255 utilizatorultau@ip_server_tau.

Pasul 6: Configurați un firewall de bază cu UFW

Un firewall este un strat de securitate non-negociabil. Acesta controlează traficul de rețea de intrare și de ieșire. UFW (Uncomplicated Firewall) este o interfață prietenoasă pentru gestionarea regulilor de firewall pe Linux.

Mai întâi, setați politicile implicite pentru a refuza tot traficul de intrare și a permite tot traficul de ieșire:

sudo ufw default deny incoming
sudo ufw default allow outgoing

Pasul 7: Configurați regulile esențiale UFW

Cu politicile implicite setate, acum trebuie să permiteți în mod explicit traficul pentru serviciile de care aveți nevoie. Cel puțin, acestea vor fi SSH, HTTP și HTTPS.

# Permiteți noul port SSH (înlocuiți 2255 cu portul ales)
sudo ufw allow 2255/tcp

# Permiteți traficul web standard
sudo ufw allow http
sudo ufw allow https

# Activați firewall-ul
sudo ufw enable

Firewall-ul va fi acum activ și va persista la reporniri.

Pasul 8: Instalați și configurați Fail2ban

Fail2ban este un cadru software de prevenire a intruziunilor care protejează serverele de calculator împotriva atacurilor de tip brute-force. Acesta scanează fișierele jurnal și interzice adresele IP care prezintă semne malițioase, cum ar fi prea multe eșecuri de parolă.

# Pentru Debian/Ubuntu:
sudo apt install fail2ban -y

# Pentru CentOS/AlmaLinux (necesită depozitul EPEL):
sudo dnf install epel-release -y
sudo dnf install fail2ban -y

# Porniți și activați serviciul
sudo systemctl start fail2ban
sudo systemctl enable fail2ban

Fail2ban funcționează implicit pentru a proteja SSH, dar poate fi configurat pentru a proteja multe alte servicii.

Pasul 9: Eliminați serviciile de rețea inutile

Fiecare serviciu care ascultă pe un port de rețea este un punct de intrare potențial pentru un atacator. Un principiu de bază al securizării serverului este minimizarea suprafeței de atac prin eliminarea oricărui software care nu este absolut necesar pentru funcționarea serverului. Utilizați un instrument precum ss sau netstat pentru a vedea ce servicii ascultă.

sudo ss -tuln

Dacă vedeți servicii pe care nu le recunoașteți sau de care nu aveți nevoie, găsiți numele pachetului și eliminați-l folosind managerul de pachete al sistemului dumneavoastră.

Pasul 10: Configurați actualizările automate de securitate

Rularea manuală a actualizărilor este bună, dar automatizarea procesului pentru patch-urile de securitate asigură că serverul dumneavoastră este protejat împotriva vulnerabilităților nou descoperite cât mai repede posibil, fără a necesita intervenția dumneavoastră.

Pentru Debian/Ubuntu:

sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure -plow unattended-upgrades

Pentru CentOS/AlmaLinux:

sudo dnf install dnf-automatic -y
sudo systemctl enable --now dnf-automatic.timer

Pasul 11: Securizați memoria partajată

Directorul /run/shm este utilizat pentru memoria partajată. În mod implicit, este adesea montat ca fiind inscriptibil pentru toată lumea, ceea ce poate fi exploatat de atacatori în anumite scenarii. Îl puteți securiza editând tabela sistemelor de fișiere (fstab).

sudo nano /etc/fstab

Adăugați următoarea linie la sfârșitul fișierului:

tmpfs /run/shm tmpfs defaults,noexec,nosuid 0 0

Salvați fișierul și reporniți serverul pentru ca modificarea să intre în vigoare.

Pasul 12: Instalați un sistem de detectare a intruziunilor (IDS)

Deși Fail2ban este excelent pentru blocarea atacurilor de tip brute-force cunoscute, un IDS modern precum CrowdSec oferă un strat de apărare mai avansat și colaborativ. CrowdSec identifică comportamentele agresive și partajează informațiile despre IP-ul atacantului cu o rețea globală, blocând proactiv amenințările identificate de alți utilizatori.

Pasul 13: Dezactivați sistemele de fișiere neutilizate

Pentru a reduce și mai mult suprafața de atac, puteți împiedica kernel-ul să încarce sisteme de fișiere pe care nu le utilizați (cum ar fi cramfs, freevxfs, jffs2, hfs, hfsplus, squashfs, udf). Acesta este un pas avansat, dar adaugă un alt strat de securizare.

# Creați un nou fișier de configurare
sudo nano /etc/modprobe.d/uncommon-fs.conf

# Adăugați aceste linii
install cramfs /bin/true
install freevxfs /bin/true
install jffs2 /bin/true
install hfs /bin/true
install hfsplus /bin/true
install squashfs /bin/true
install udf /bin/true

Pasul 14: Implementați o strategie regulată de backup

Securitatea înseamnă și recuperare. Chiar și cel mai securizat server poate cădea victimă unui exploit de tip zero-day sau unei erori de configurare. O strategie de backup fiabilă, automată și testată regulat este plasa dumneavoastră de siguranță supremă. Asigurați-vă că backup-urile sunt stocate în afara serverului, într-o locație sigură și separată geografic.

Pasul 15: Efectuați audituri de securitate regulate

Securitatea nu este o configurare unică; este un proces continuu. Programați audituri regulate ale serverului dumneavoastră. Utilizați instrumente precum lynis sau rkhunter pentru a scana în căutarea vulnerabilităților comune, revizuiți regulile firewall-ului, verificați permisiunile utilizatorilor și analizați jurnalele pentru orice activitate suspectă. A fi vigilent este cheia securității pe termen lung.

Concluzie: Securitatea ca proces continuu

Prin finalizarea acestei liste de verificare în 15 pași, ați transformat instalarea implicită a serverului dumneavoastră dintr-o țintă ușoară într-un mediu securizat și întărit. Ați stabilit multiple straturi de apărare care vă vor proteja de marea majoritate a atacurilor automate și oportuniste. Amintiți-vă că securitatea serverului este un proces continuu de vigilență, întreținere și adaptare. Amenințări noi apar, iar vulnerabilitățile software sunt descoperite zilnic, motiv pentru care actualizările automate și auditurile regulate sunt atât de critice.

La ENGINYRING, construim ofertele noastre de servere virtuale având securitatea ca prioritate principală, oferind o fundație robustă pe care să puteți construi. Dacă preferați să vă concentrați pe afacerea dumneavoastră și să lăsați complexitatea managementului și securizării serverelor pe seama experților, echipa noastră de servicii gestionate este aici pentru a vă ajuta. Contactați-ne astăzi pentru a afla cum putem oferi un mediu de găzduire complet securizat și optimizat pentru proiectele dumneavoastră.