Безопасность выделенного сервера: Первые 30 минут после получения

Как защитить ваш выделенный сервер: Критические первые 30 минут

В Valebyte мы предоставляем вам надёжные, высокопроизводительные выделенные серверы, разработанные для требовательных рабочих нагрузок. Но окончательная безопасность вашей инфраструктуры начинается с вас. Это руководство поможет системным администраторам, разработчикам и компаниям внедрить немедленные меры безопасности, защищая ваши инвестиции с первого дня.

Почему немедленная безопасность важна для вашего bare-metal сервера

Представьте ваш новый выделенный сервер как только что построенный дом. Хотя он выглядит прочным, вы бы не оставили двери незапертыми, а окна открытыми. Аналогично, незащищённый сервер уязвим для автоматизированных атак, которые могут скомпрометировать данные, развернуть вредоносное ПО или превратить ваш сервер в часть ботнета. Немедленное внедрение этих базовых шагов безопасности минимизирует вашу уязвимость и устанавливает безопасный прецедент для всех будущих операций, будь то запуск игровых серверов, высоконагруженной платформы электронной коммерции или сложных CI/CD конвейеров.

Предварительные требования: Начало работы

Прежде чем приступить к защите вашего выделенного сервера Valebyte, убедитесь, что у вас есть следующее:

• Учётные данные сервера: IP-адрес вашего сервера, начальное имя пользователя root и пароль (или SSH-ключ, если предоставлено Valebyte). Обычно они отправляются вам при доставке сервера.
• SSH-клиент:
  • Linux/macOS: Клиент OpenSSH (встроенный через Терминал).
  • Windows: PuTTY, MobaXterm или Подсистема Windows для Linux (WSL) с OpenSSH.
• Базовые знания командной строки Linux: Знакомство с командами, такими как sudo, apt/yum, nano/vi, и навигация по файловой системе.
• Подключение к Интернету: Для загрузки обновлений и пакетов.

30-минутный спринт безопасности: Пошаговое руководство

Шаг 1: Первоначальное SSH-подключение (0-2 минуты)

Самый первый шаг — установить безопасное соединение с вашим сервером. Используйте учётные данные, предоставленные Valebyte.

ssh root@[your_server_ip]

Вам будет предложено ввести пароль root. Если вы подключаетесь впервые, вы можете увидеть предупреждение о подлинности хоста. Введите yes, чтобы принять отпечаток.

Важное примечание: Пароль root по умолчанию часто является слабым местом. Наши последующие шаги устранят это путём создания нового, более безопасного пользователя и отключения входа root.

Шаг 2: Обновление системных пакетов (2-7 минут)

Устаревшее программное обеспечение является основным вектором атак. Немедленно обновите операционную систему вашего сервера и установленные пакеты, чтобы исправить все известные уязвимости. Это крайне важно для любого сервера, будь то для баз данных, почтовых серверов или потоковых сервисов.

Для систем на базе Debian/Ubuntu:

sudo apt update
sudo apt upgrade -y

• sudo apt update: Обновляет список доступных пакетов и их версий.
• sudo apt upgrade -y: Устанавливает последние версии всех текущих установленных пакетов. Флаг -y автоматически подтверждает все запросы.

Для систем на базе CentOS/RHEL:

sudo yum update -y

или для более новых версий, таких как AlmaLinux/Rocky Linux:

sudo dnf update -y

• sudo yum update -y (или dnf): Обновляет все установленные пакеты до их последних версий, автоматически подтверждая запросы.

Позвольте этим командам завершиться. Это может занять несколько минут в зависимости от количества обновлений.

Шаг 3: Создание нового пользователя Sudo и защита доступа Root (7-12 минут)

Постоянная работа от имени пользователя root рискованна. Пользователь root обладает неограниченными полномочиями, и одна ошибка или компрометация может быть катастрофической. Рекомендуется создать нового стандартного пользователя с привилегиями sudo (superuser do), а затем отключить прямой вход root.

1. Создайте нового пользователя:

   sudo adduser [your_new_username]

   Вам будет предложено установить надёжный пароль для этого нового пользователя. Выберите сложный пароль, в идеале используя менеджер паролей. Вы можете пропустить запросы на дополнительную информацию о пользователе, нажав Enter.

2. Предоставьте новому пользователю привилегии sudo:

   • Для Debian/Ubuntu: Добавьте пользователя в группу sudo.

   sudo usermod -aG sudo [your_new_username]

   • Для CentOS/RHEL/AlmaLinux/Rocky Linux: Добавьте пользователя в группу wheel.

   sudo usermod -aG wheel [your_new_username]

3. Проверьте нового пользователя:

   КРИТИЧЕСКИ ВАЖНО: Откройте НОВУЮ SSH-сессию и войдите как ваш новый пользователь ПРЕЖДЕ, чем продолжить. НЕ закрывайте текущую root-сессию. Это гарантирует, что вы не заблокируете себе доступ.

   ssh [your_new_username]@[your_server_ip]

   После входа проверьте функциональность sudo:

   sudo ls -la /root

   Вам будет предложено ввести пароль вашего нового пользователя, а затем вы увидите список каталогов. Если это работает, ваш новый пользователь имеет привилегии sudo.

Шаг 4: Настройка SSH для повышения безопасности (12-25 минут)

Теперь, когда у вас есть безопасный пользователь без прав root, вы можете усилить конфигурацию SSH. Это жизненно важно для любого выделенного сервера, особенно для тех, которые размещают конфиденциальные приложения или данные.

1. Отредактируйте файл конфигурации демона SSH:

   Используйте ваш предпочтительный текстовый редактор (nano удобен для новичков).

   sudo nano /etc/ssh/sshd_config

2. Внесите следующие изменения (раскомментируйте или добавьте строки):

   • Отключить вход Root: Найдите строку PermitRootLogin и измените её значение на no. Если она закомментирована, раскомментируйте её.

   PermitRootLogin no

   Это предотвращает прямой SSH-доступ от имени пользователя root, заставляя вас сначала использовать вашего sudo-пользователя.

   • Отключить аутентификацию по паролю (настоятельно рекомендуется, если используются SSH-ключи): Если вы настроили аутентификацию на основе SSH-ключей (что настоятельно рекомендуется для производственных серверов и может быть сделано позже), полностью отключите аутентификацию по паролю.

   PasswordAuthentication no

   Примечание: Если вы *ещё не* используете SSH-ключи, оставьте PasswordAuthentication yes пока что, но планируйте внедрить SSH-ключи в ближайшее время, а затем отключить пароли. Для этого 30-минутного руководства, если у вас нет готовых ключей, оставьте его включённым.

   • Изменить порт SSH: Порт SSH по умолчанию (22) постоянно сканируется ботами. Изменение его на нестандартный порт (например, 2222, 54321, выберите что-то уникальное и выше 1024) уменьшает количество автоматизированных попыток атак.

   Port [your_new_port_number]

   Запомните этот новый порт! Он понадобится вам для будущих подключений и для настройки брандмауэра.

   • Разрешить определённым пользователям (необязательно, но хорошая практика): Если только определённые пользователи должны иметь доступ к SSH, явно перечислите их.

   AllowUsers [your_new_username]

3. Сохранить и выйти:

   В nano нажмите Ctrl+O, затем Enter для сохранения и Ctrl+X для выхода.

4. Перезапустить службу SSH:

   Примените изменения, перезапустив демон SSH. Используйте для этого вашего нового sudo-пользователя.

   • Для Debian/Ubuntu:

   sudo systemctl restart sshd

   • Для CentOS/RHEL/AlmaLinux/Rocky Linux:

   sudo systemctl restart sshd

5. Проверьте новую конфигурацию SSH:

   КРИТИЧЕСКИ ВАЖНО: Откройте ещё одну НОВУЮ SSH-сессию и попытайтесь войти, используя вашего нового пользователя, новый порт, и убедившись, что вход root заблокирован. Держите ваши предыдущие сессии открытыми, пока не подтвердите успешный вход.

   ssh -p [your_new_port_number] [your_new_username]@[your_server_ip]

   Если вы можете войти, и попытка прямого входа как root завершается неудачей, ваша конфигурация успешна. Теперь вы можете закрыть свою старую root-сессию.

Шаг 5: Установка и настройка базового брандмауэра (25-30 минут)

Брандмауэр — это первая линия защиты вашего сервера, контролирующая, какой трафик может входить и выходить. Он необходим для любого выделенного сервера, будь то веб-сервер (открытие портов 80/443), игровой сервер (открытие определённых игровых портов) или сервер баз данных (ограничение доступа к внутренним сетям).

Для систем на базе Debian/Ubuntu (используя UFW - Uncomplicated Firewall):

1. Установите UFW:

   sudo apt install ufw -y

2. Установите политики по умолчанию:

   Запретить все входящие соединения по умолчанию, разрешить все исходящие.

   sudo ufw default deny incoming
   sudo ufw default allow outgoing

3. Разрешите необходимые соединения:

   КРИТИЧЕСКИ ВАЖНО: Сначала разрешите ваш новый SSH-порт, чтобы избежать блокировки доступа!

   sudo ufw allow [your_new_ssh_port]/tcp

   Затем разрешите другие важные службы, которые может запускать ваш сервер. Для веб-сервера:

   sudo ufw allow http
   sudo ufw allow https

   Если вы запускаете определённые игровые серверы, вы должны открыть их необходимые порты здесь (например, sudo ufw allow 27015/tcp).

4. Включите UFW:

   sudo ufw enable

   Вы получите предупреждение о прерывании существующих SSH-соединений. Подтвердите, введя y.

5. Проверьте статус UFW:

   sudo ufw status verbose

   Убедитесь, что ваши правила активны и ваш SSH-порт открыт.

Для систем на базе CentOS/RHEL/AlmaLinux/Rocky Linux (используя FirewallD):

1. Установите FirewallD (если ещё не установлен):

   sudo yum install firewalld -y

   или

   sudo dnf install firewalld -y

2. Запустите и включите FirewallD:

   sudo systemctl start firewalld
   sudo systemctl enable firewalld

3. Разрешите необходимые соединения:

   КРИТИЧЕСКИ ВАЖНО: Сначала разрешите ваш новый SSH-порт, чтобы избежать блокировки доступа!

   sudo firewall-cmd --permanent --add-port=[your_new_ssh_port]/tcp

   Затем разрешите другие важные службы. Для веб-сервера:

   sudo firewall-cmd --permanent --add-service=http
   sudo firewall-cmd --permanent --add-service=https

   Если вы запускаете определённый игровой сервер, вы должны открыть его необходимые порты здесь (например, sudo firewall-cmd --permanent --add-port=27015/tcp).

4. Перезагрузите FirewallD для применения изменений:

   sudo firewall-cmd --reload

5. Проверьте статус FirewallD:

   sudo firewall-cmd --list-all

   Убедитесь, что ваши правила активны и ваш SSH-порт открыт.

Тестирование вашей конфигурации безопасности

После выполнения этих шагов крайне важно протестировать вашу настройку:

• Доступ по SSH: Убедитесь, что вы всё ещё можете войти с вашим новым пользователем и новым SSH-портом. Попытка прямого входа как root должна завершиться неудачей.
• Правила брандмауэра:
  • С другой машины попробуйте подключиться к порту, который должен быть заблокирован (например, порт 22, если вы изменили свой SSH-порт, или любой случайный высокий порт). Соединение должно завершиться неудачей или истечь по таймауту.
  • Если вы открыли порты 80/443 для веб-хостинга, убедитесь, что они доступны, если вы развернули простую веб-страницу.

Устранение распространённых проблем

Даже опытные системные администраторы сталкиваются с проблемами. Вот некоторые распространённые ошибки и способы их устранения:

1. Заблокирован доступ после изменения конфигурации SSH

Это самая распространённая и опасаемая проблема. Золотое правило: НИКОГДА не закрывайте текущую SSH-сессию, пока вы успешно не протестируете новую конфигурацию в отдельной сессии.

• Решение: Если вы следовали совету, ваша исходная сессия всё ещё открыта. Отмените изменения в /etc/ssh/sshd_config, перезапустите SSH и попробуйте снова.
• Худший случай: Если вы полностью заблокированы, вам потребуется использовать функцию KVM-over-IP или консольного доступа в панели управления Valebyte, чтобы восстановить доступ, отменить изменения и перезапустить SSH.

2. Брандмауэр блокирует легитимный трафик

Случайная блокировка необходимых портов может помешать работе ваших служб или даже заблокировать вам доступ.

• Симптомы: Службы не отвечают, SSH-соединение завершается неудачей даже с правильными учётными данными.
• Решение:
  • UFW: Выведите правила с помощью sudo ufw status verbose. Удалите некорректные правила (например, sudo ufw delete allow [rule_number]) или временно отключите UFW с помощью sudo ufw disable, чтобы проверить, является ли брандмауэр причиной проблемы. Включите его снова с правильными правилами.
  • FirewallD: Выведите правила с помощью sudo firewall-cmd --list-all. Удалите некорректные правила (например, sudo firewall-cmd --permanent --remove-port=[port]/tcp) и выполните sudo firewall-cmd --reload.

3. Неправильные разрешения пользователя или проблемы с Sudo

Если ваш новый пользователь не может использовать sudo или получить доступ к определённым файлам.

• Симптомы: sudo: command not found или [username] is not in the sudoers file. This incident will be reported.
• Решение: Убедитесь, что пользователь был правильно добавлен в группу sudo (Debian/Ubuntu) или wheel (CentOS/RHEL). Войдите снова как root (если это всё ещё возможно) или используйте консольный доступ, чтобы повторно добавить пользователя в правильную группу: sudo usermod -aG sudo [username] или sudo usermod -aG wheel [username].

За пределами первых 30 минут: Постоянная безопасность

Описанные выше шаги являются критически важной отправной точкой. Безопасность сервера — это непрерывный процесс. Рассмотрите следующие шаги для вашего выделенного сервера Valebyte:

• Аутентификация по SSH-ключам: Внедрите пары SSH-ключей для беспарольного, более безопасного входа.
• Fail2Ban: Установите Fail2Ban для автоматической блокировки IP-адресов, пытающихся осуществить атаки методом перебора на SSH и другие службы.
• Регулярные обновления: Настройте автоматические обновления или регулярный график, чтобы поддерживать вашу ОС и приложения в актуальном состоянии.
• Стратегия резервного копирования: Внедрите надёжный план резервного копирования и аварийного восстановления. Valebyte предлагает решения, которые могут быть интегрированы с вашей стратегией.
• Мониторинг: Настройте инструменты мониторинга для отслеживания состояния сервера, использования ресурсов и событий безопасности.
• Аудиты безопасности: Периодически просматривайте конфигурацию безопасности вашего сервера и журналы.
• Надёжные пароли: Для любых служб, работающих на сервере (базы данных, почтовые аккаунты, панели управления), всегда используйте надёжные, уникальные пароли.
• SELinux/AppArmor: Изучите эти системы принудительного контроля доступа для повышения безопасности на уровне ядра.

Принимая эти проактивные меры, вы превращаете ваш мощный выделенный сервер Valebyte в крепость, готовую обрабатывать ваши самые требовательные приложения, от высокопроизводительных игровых серверов и надёжных сред веб-хостинга до сложных CI/CD конвейеров и критически важной инфраструктуры баз данных.