Опиши как можно обезопасить Linux-сервер

Комплексный подход к защите Linux-сервера

Обеспечение безопасности Linux-сервера — это непрерывный процесс, включающий несколько уровней защиты. Вот ключевые меры, которые я реализую на основе своего опыта.

1. Обновление и управление пакетами

Первая линия защиты — поддержание системы в актуальном состоянии. Устаревшее ПО — главный вектор атак.

# Регулярное обновление (для Debian/Ubuntu)
sudo apt update && sudo apt upgrade -y

# Настройка автоматических обновлений безопасности
sudo apt install unattended-upgrades
sudo dpkg-reconfigure --priority=low unattended-upgrades

Рекомендации:

• Настроить репозитории только из доверенных источников
• Использовать yum-cron (RHEL/CentOS) или unattended-upgrades (Debian/Ubuntu)
• Тестировать обновления на staging-окружении перед production

2. Конфигурация SSH

SSH — основной способ доступа к серверу, требующий особого внимания.

# /etc/ssh/sshd_config - ключевые настройки:
Port 2222                      # Изменение стандартного порта
PermitRootLogin no             # Запрет прямого входа под root
PasswordAuthentication no      # Отключение парольной аутентификации
AllowUsers alice bob           # Белый список пользователей
MaxAuthTries 3                 # Ограничение попыток входа
ClientAliveInterval 300        # Таймаут неактивных сессий

Дополнительные меры:

• Использовать ключи SSH вместо паролей (RSA 4096 бит или Ed25519)
• Настроить fail2ban для блокировки IP после неудачных попыток
• Применить двухфакторную аутентификацию для критичных систем

3. Настройка брандмауэра

Контроль сетевого трафика обязателен. Использую nftables (современная замена iptables) или firewalld.

# Пример базовых правил nftables
#!/usr/sbin/nft -f

flush ruleset

table inet firewall {
    chain inbound {
        type filter hook input priority 0; policy drop;
        
        # Разрешить loopback
        iif lo accept
        
        # Разрешить established/related соединения
        ct state established,related accept
        
        # SSH на нестандартном порту
        tcp dport 2222 accept
        
        # ICMP (ping)
        ip protocol icmp accept
    }
    
    chain forward {
        type filter hook forward priority 0; policy drop;
    }
    
    chain outbound {
        type filter hook output priority 0; policy accept;
    }
}

4. Управление пользователями и правами

• Принцип наименьших привилегий: пользователям выдаются только необходимые права
• Регулярный аудит учетных записей: sudo less /etc/passwd
• Использование sudo вместо входа под root
• Настройка umask 027 для ограничения прав новых файлов

5. Безопасность служб и демонов

• Отключение всех неиспользуемых служб: systemctl disable --now <service>
• Запуск служб от непривилегированных пользователей
• Использование chroot или namespaces для изоляции
• Регулярный аудит открытых портов: ss -tulpn

6. Мониторинг и аудит

Auditd — мощный инструмент для отслеживания событий безопасности:

# Мониторинг доступа к критичным файлам
auditctl -w /etc/passwd -p rwxa -k identity_access
auditctl -w /etc/shadow -p rwxa -k identity_access

# Просмотр логов
ausearch -k identity_access | aureport -f -i

Дополнительный инструментарий:

• AIDE или Tripwire для контроля целостности файлов
• Logwatch или rsyslog для агрегации и анализа логов
• Настройка алертов при подозрительной активности

7. Дисковая шифровка и разграничение

• Шифрование чувствительных данных с помощью LUKS
• Разделение файловых систем: /home, /tmp, /var на отдельные разделы
• Настройка правильных атрибутов файлов: chattr +i /critical/file

8. Безопасность ядра и контейнеризации

# Настройка параметров ядра в /etc/sysctl.conf
net.ipv4.conf.all.rp_filter = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1
kernel.exec-shield = 1

# Для контейнеров использовать:
# - AppArmor или SELinux
# - User namespaces
# - Seccomp профили

9. Регулярные проверки и автоматизация

• Lynis — автоматизированный аудит безопасности
• OpenSCAP — проверка соответствия стандартам
• Собственные скрипты для регулярных проверок
• Инфраструктура как код (Terraform, Ansible) для воспроизводимых конфигураций

10. Резервное копирование и план восстановления

Безопасность включает возможность восстановления после инцидента:

• Регулярные шифрованные бэкапы на удаленные хранилища
• Тестирование процедуры восстановления
• Документирование всех изменений и инцидентов

Ключевой принцип: безопасность — это не разовое действие, а цикличный процесс "оценка-защита-мониторинг-реагирование". Необходимо сочетать технические меры с организационными процедурами и обучением команды. Даже самая защищенная система уязвима при человеческом факторе.