VPS drošības kontrolsaraksts
Izmantojiet šo kontrolsarakstu, sagatavojot jaunu Linux VPS darbam internetā. Vispirms nodrošiniet piekļuvi un atjaunošanas iespēju, pēc tam pārbaudiet atjauninājumus, ugunsmūri, rezerves kopijas un uzraudzību.
Kam šis kontrolsaraksts paredzēts
Tas paredzēts administratoram vai tehniskajam speciālistam, kas sagatavo parastu Linux VPS. Windows serverim, vadības panelim, pasta serverim, datubāzei vai augstas pieejamības sistēmai izmantojiet arī ražotāja un lietotnes norādījumus.
Kontrolsaraksts palīdz pārbaudīt pamatsoļus, taču neaizstāj regulārus atjauninājumus, ievainojamību pārbaudes un rīcības plānu drošības incidentam.
VPS drošības posmi
1. Kontrolēta piekļuve
- Pirms SSH vai ugunsmūra maiņas fiksējiet pakalpojuma sniedzēja konsoli un atjaunošanas veidu.
- Izveidojiet vārdā nosauktus administratorus un ikdienā neizmantojiet tiešu root pieteikšanos.
- No otras sesijas pārbaudiet SSH publiskās atslēgas pirms vājāku metožu atspējošanas.
- Ierobežojiet administratora tiesības un glabājiet privātās atslēgas ārpus servera.
- Sinhronizējiet laiku un dokumentējiet servera atbildīgo, mērķi, OS un atbalsta periodu.
2. Atjaunināšana un publiski pieejamo pakalpojumu samazināšana
- Uzstādiet atbalstītos OS un pakotņu atjauninājumus un vajadzības gadījumā pārstartējiet.
- Iestatiet automātiskos drošības atjauninājumus ar darbam atbilstošu apkopes un restartēšanas kārtību.
- Apkopojiet klausīšanās portus un servisus; atspējojiet vai dzēsiet nevajadzīgos.
- Iestatiet ienākošā ugunsmūra noklusējuma aizliegumu un skaidri atļaujiet vajadzīgos portus.
- Datubāzes un iekšējos servisus piesaistiet privātām vai lokālām adresēm, ja vien publiska piekļuve nav nepieciešama.
3. Lietotņu un datu aizsardzība
- Publisko tīmekļa datplūsmu apkalpojiet ar aktuālu TLS un paredzēto HTTP novirziet uz HTTPS.
- Noslēpumus glabājiet ārpus publiskām mapēm un neievietojiet repozitorijos vai komandu vēsturē.
- Servisus darbiniet ar atsevišķiem nepriviliģētiem lietotājiem un ierobežotām failu tiesībām.
- Izveidojiet ārpus servera glabātas konfigurācijas un datu kopijas un pārbaudiet atjaunošanu.
- Dokumentējiet atkarības, sertifikātus, DNS, plānotos darbus un servisa atjaunošanas secību.
4. Uzraudzība un uzturēšana
- Apkopojiet autentifikācijas, ugunsmūra, sistēmas un lietotnes žurnālus ar atbilstošu glabāšanu.
- Uzraugiet pieejamību, disku, atmiņu, sertifikātu termiņus, kopijas un neparastu pieteikšanos.
- Regulāri pārskatiet kontus, atslēgas, ugunsmūri, pakotnes un publiskos portus.
- Sagatavojiet incidenta kontaktu kārtību un veidu, kā izolēt serveri, neiznīcinot pierādījumus.
- Atkārtojiet pārbaudi pēc būtiskām lietotnes, tīkla vai administratoru izmaiņām.
Biežākie jautājumi par VPS drošību
Vai SSH vienmēr jāpārceļ uz nestandarta portu?
Cits ports var samazināt automatizētu skeneru troksni, bet neaizstāj atslēgas, atjaunināšanu, piekļuves kontroli, ugunsmūri vai uzraudzību. Tas ir izvēles operatīvs risinājums, nevis galvenā aizsardzība.
Vai paroles pieteikšanos uzreiz jāatspējo?
Tikai pēc atslēgu piekļuves un pakalpojuma sniedzēja konsoles vai cita atjaunošanas veida pārbaudes. Pretējā gadījumā ievades kļūda vai nepareizs ugunsmūra noteikums var bloķēt visus administratorus.
Vai momentuzņēmums ir pilna rezerves kopija?
Ne pats par sevi. Momentuzņēmums var būt noderīgs, taču atjaunošanai svarīga ir glabāšana, neatkarība no bojātās sistēmas, lietotnes konsekvence un pārbaudīts atjaunošanas process.