Håll din VPS säker: hardening, Lynis och en underhållsrutin
Med Säkra din VPS: de första fem minuterna lägger du grunden: uppdateringar, inloggning med nyckel, en brandvägg och fail2ban. Men en server blir aldrig klar. Programvara åldras, certifikat går ut och diskar blir fulla. Här läser du hur du sedan steg för steg täpper till din server ytterligare (härdning), hur du kontrollerar den med Lynis och vilken underhållsrytm som hjälper.
Fyra principer
- En liten attackyta. Det som inte finns kan inte läcka. Ta bort tjänster och paket som du inte använder, och håll bara de portar öppna utåt som verkligen behövs. Se Vilka tjänster lyssnar på din VPS, och vad går att nå utifrån?
- Minsta möjliga behörighet. Inget dagligt arbete som root, tjänster under en egen användare, aldrig
chmod 777. Se Läs och ställ in filbehörigheter på din VPS rätt. - Försvar i flera lager. Utgå från att en åtgärd kan fallera. En databas som bara lyssnar på
127.0.0.1, står bakom en brandvägg och har ett starkt lösenord förblir säker även om en av de tre faller bort. - Se vad som händer. Loggar, övervakning och säkerhetskopior. Utan de tre märker du ett problem först när det är för sent.
CIS Benchmarks i korthet
Center for Internet Security (CIS) tar fram CIS Benchmarks: listor med rekommenderade inställningar per produkt, även för Debian och Ubuntu. De är indelade i Level 1 (grundläggande åtgärder utan större nackdelar, målet för de flesta servrar) och Level 2 (strängare, kan kosta funktioner eller prestanda). Använd dem som referens: förstå en rekommendation innan du tillämpar den, ändra en sak i taget och anteckna varför du medvetet avstår från något. Var försiktig med färdiga skript som tillämpar "allt från CIS" på en gång: med dem låser du lätt ute dig själv.
Kontrollera med Lynis
Lynis är ett gratis program med öppen källkod som granskar din server inifrån. Det ändrar ingenting själv, det rapporterar bara.
sudo apt install lynis sudo lynis audit system
På AlmaLinux och Rocky Linux installerar du det från EPEL med sudo dnf install lynis. Så läser du resultatet:
- Warnings ska du verkligen titta på, till exempel paket med kända sårbarheter (då finns det uppdateringar som väntar).
- Suggestions är råd. Många är användbara, en del passar inte din server. Ett förslag om att stänga av
AllowTcpForwardingbryter till exempel dina SSH-tunnlar. Följ dem inte blint. - Varje anmärkning har en kod inom hakparentes, till exempel
[SSH-7408]. Med den söker du i/var/log/lynis.logefter exakt vad som testades. - Hardening index (ett tal upp till 100) är en vägvisare, inte ett betyg att jaga.
Ta en snapshot innan du ändrar något utifrån Lynis, se Snapshots och säkerhetskopior av din VPS, och se till att du vet hur du öppnar konsolen om du ändå låser ute dig själv.
En underhållsrytm
Ett exempel för en liten server. Anpassa det efter din egen situation och lägg in tillfällena i din kalender.
| När | Vad |
|---|---|
| Varje vecka | Gå igenom aviseringar från din övervakning; systemctl --failed; starta om om /var/run/reboot-required finns |
| Varje månad | apt list --upgradable (fastnar något?); uppdatera containrar; diskutrymme; fel i loggen med journalctl -p err --since "1 month ago" |
| Varje kvartal | Provåterställ en säkerhetskopia; gå igenom användare och authorized_keys; kör Lynis igen |
| Varje år | Kontrollera slutdatumet för din version och planera en uppgradering; uppdatera security.txt om du har en; uppdatera din serverdokumentation |
Hjälp med de olika delarna: Uppdateringar och automatiska uppdateringar, Övervakning utifrån och inifrån, Säkerhetskopior med restic till en annan plats, Återkalla SSH-åtkomst till din VPS för en tidigare medarbetare eller en borttappad laptop och Uppgradera din VPS till en ny version av Debian eller Ubuntu.
En serverdokumentation
Skriv ett kort dokument per server och förvara det utanför servern, till exempel i din lösenordshanterare:
- namn, IP-adresser, operativsystem och slutdatumet för den versionen;
- vad som körs (tjänster, containrar, webbplatser) och vilka portar som är öppna för det;
- var säkerhetskopiorna finns, hur du återställer och när du senast testade det;
- vilka hemligheter som finns på servern (inte själva hemligheterna, men vilka och var du byter ut dem);
- vem som har åtkomst, och vad du medvetet gjorde annorlunda än standard.
Dokumentationen hjälper vid en driftstörning, vid en uppgradering och när någon annan tar över driften.
timedatectl att klockan är synkroniserad: med fel tid blir loggarna oanvändbara och certifikat kan räknas som ogiltiga.Din VPS är helt egenförvaltad: härdning och underhåll inne på servern sköter du själv. Vi hjälper till med WebOké-delen, till exempel VPS-vyn, nätverket, snapshots och de dagliga säkerhetskopiorna.
Vill du lära dig mer? Gå den kostnadsfria kursen VPS och Linux-serveradministration, lektion 10.1 Härdning och CIS-principer eller lektion 10.4 Slutkontroll: din server mot checklistan.