Opevnění Vaší Linuxové Pevnosti: Základní Zabezpečenie pre Debian a Ubuntu Servery

25. 04. 2024 | Pietro Dubsky

Debian a Ubuntu sú dvě z nejpopulárnějších linuxových distribucí pre servery, ceněné pre svou stabilitu, rozsáhlé repozitáře balíčků a silnou komunitní podporu. Výchozí instalace, ačkoli funkční, však často není dostatečně posílena proti nesčetným hrozbám přítomným na internetu. Zabezpečenie vašeho Linux serveru je kritický a neustálý proces. Tento průvodce pokryje základní kroky k opevnění vašeho serveru Debian alebo Ubuntu.

Prečo je Posílení Zabezpečenie Serveru Klíčové

Servery, zejména ty vystavené internetu, sú neustálými cíli pre automatizované útoky, hackery hledající zranitelnosti a botnety. Kompromitovaný server môže vést k:

  • Únikům dat a krádeži citlivých informací.
  • Přerušení služeb a prostojům.
  • Využití vašeho serveru k škodlivým aktivitám (např. odesílání spamu, hostování phishingových stránek, účast na DDoS útocích).
  • Poškození pověsti.
  • Finančním ztrátám.

Posílení zabezpečenie serveru (server hardening) zahrnuje konfiguraci systému tak, aby se snížila jeho útočná plocha a zlepšila celková bezpečnostní pozice.

Počáteční Nastavení Serveru a Používateľské Účty

1. Vytvořte Neprivilegovaného Používateľ s Právy Sudo

Přihlašování a práca přímo ako používateľ root je riskantní. Jediná chyba môže mať katastrofální následky. Akce: Ihned po počátečním nastavení serveru vytvořte nový uživatelský účet a udělte mu práva sudo. 

# Ako root
adduser novyuzivatel
usermod -aG sudo novyuzivatel
# Poté se odhlaste ako root a přihlaste se ako novyuzivatel
Vždy používejte tohoto uživatele pre každodenní správu a příkazy vyžadující administrátorská oprávnění prefixujte slovem sudo.

2. Zakažte Přihlášení Roota přes SSH

Jakmile je váš sudo používateľ nastaven a otestován, zakažte přímé přihlášení roota přes SSH, abyste snížili riziko útoků hrubou silou cílících na root účet. Akce: Upravte konfigurační súbor SSH (sudo nano /etc/ssh/sshd_config) a nastavte: 

PermitRootLogin no
Poté restartujte službu SSH: sudo systemctl restart ssh alebo sudo systemctl restart sshd.

3. Používejte Silná Heslá (a Zvažte SSH Klíče)

Ujistěte se, že všetky používateľské účty, zejména váš sudo používateľ, mají veľmi silná, jedinečná heslá. Akce: K ich generování použijte správce hesiel. Ešte lépe, nastavte ověřování pomocí SSH klíčů, ktoré je výrazně bezpečnější než ověřování heslem, a poté zcela zakažte ověřování heslem pre SSH (viz další sekce).

Zabezpečenie Přístupu přes SSH

SSH (Secure Shell) je primární způsob vzdáleného přístupu a správy Linux serverů. Jeho zabezpečenie je prvořadé.

1. Používejte Ověřování Pomocí SSH Klíčů

SSH klíče se skládají z veřejného klíče (umístěného na serveru) a soukromého klíče (bezpečne uloženého na vašem klientském počítači). Přihlásit se můžete iba ak vlastníte soukromý klíč. Akce: Vygenerujte pár SSH klíčů na vašem lokálním počítači (ssh-keygen) a zkopírujte veřejný klíč do souboru ~/.ssh/authorized_keys vašeho sudo uživatele na serveru. Otestujte to a poté zvažte zakázání ověřování heslem.

2. Zakažte Ověřování Heslem pre SSH (Po Nastavení Klíčů)

To zabraňuje útokům hrubou silou na heslá proti SSH. Akce: V /etc/ssh/sshd_config nastavte: 

PasswordAuthentication no
PubkeyAuthentication yes
ChallengeResponseAuthentication no
Restartujte službu SSH.

3. Změňte Výchozí SSH Port (Bezpečnosť Skrze Neznámo - Volitelné)

Automatizovaní boti často skenují SSH na výchozím portu 22. Jeho změna môže snížit počet automatizovaných pokusů o přihlášení. Akce: V /etc/ssh/sshd_config změňte Port 22 na nestandardní port (např. Port 2222). Nezapomeňte povolit nový port ve vašem firewallu pred restartováním SSH. Poznámka: Toto je menší bezpečnostní opatření a nemělo by se na něj spoléhat ako na primární obranu.

4. Implementujte Fail2Ban

Fail2Ban je software pre prevenci narušení, ktorý monitoruje log súbory (např. pre SSH, Apache) a zakazuje IP adresy, ktoré vykazují škodlivé známky, ako je příliš mnoho neúspěšných pokusů o zadání heslá. Akce: Nainstalujte a nakonfigurujte Fail2Ban: 

sudo apt update
sudo apt install fail2ban
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local # Nakonfigurujte nastavení, zejména pre SSH
sudo systemctl enable fail2ban
sudo systemctl start fail2ban

Konfigurace Firewallu

Firewall řídí příchozí a odchozí síťový provoz na základě předdefinovaných bezpečnostních pravidel.

1. Používejte UFW (Uncomplicated Firewall) alebo nftables

Debian a Ubuntu často přicházejí s UFW, uživatelsky přívětivým rozhraním pre správu pravidel firewallu (ktoré pod kapotou používá nftables alebo iptables). Akce:

  • Nainstalujte UFW, ak není přítomen: sudo apt install ufw
  • Nastavte výchozí politiky: sudo ufw default deny incoming a sudo ufw default allow outgoing.
  • Povolte nezbytné služby (např. SSH na vašem vlastním portu, HTTP, HTTPS): 
    sudo ufw allow 2222/tcp  # Alebo váš vlastní SSH port
sudo ufw allow http
sudo ufw allow https
  • Povolte UFW: sudo ufw enable
  • Zkontrolujte stav: sudo ufw status verbose

Systémové Aktualizace a Správa Záplat

Udržování vašeho systému a nainstalovaných balíčků aktuálních je jedním z nejúčinnějších způsobů ochrany proti známým zranitelnostem. Akce:

  • Pravidelně aktualizujte svůj systém: 
    sudo apt update
sudo apt upgrade
sudo apt full-upgrade # Občas, pre aktualizace jádra atd.
sudo apt autoremove   # Odstranění nepoužívaných balíčků
  • Zvažte povolení unattended-upgrades pre automatickou instalaci bezpečnostních aktualizací: sudo apt install unattended-upgrades a nakonfigurujte jej (sudo dpkg-reconfigure --priority=low unattended-upgrades).

Minimalizujte Nainstalovaný Software (Snižte Útočnou Plochu)

Každý kus softwaru nainstalovaný na vašem serveru potenciálně zvyšuje jeho útočnou plochu. Akce: Odinstalujte veškeré nepotřebné balíčky a služby. Ak je nepoužíváte, odstraňte je. 

sudo apt list --installed # Pre zobrazení nainstalovaných balíčků
sudo apt remove nazev_balicku
sudo apt purge nazev_balicku # Pre odstranění i konfiguračních souborů

Logování a Monitorování

Systémové logy sú klíčové pre detekci podezřelé aktivity, řešení problémů a pre forenzní analýzu po incidentu. Akce:

  • Seznamte se s běžnými umístěními log souborů (např. /var/log/auth.log pre autentizaci, /var/log/syslog pre obecné systémové správy).
  • Ujistěte se, že služby ako rsyslog běží.
  • Zvažte centralizované logování, ak spravujete viac serverů.
  • Nainstalujte nástroje ako logwatch pre získání denních souhrnů aktivity v logu.

Systémy Detekce Narušení (IDS)

IDS môže monitorovat síťové alebo systémové aktivity na škodlivé aktivity alebo porušení politik a hlásit je. Akce: Zvažte host-based IDS (HIDS) ako:

  • Tripwire (AIDE je bezplatná alternativa): Monitoruje integritu souborového systému pre neoprávněné změny.
  • OSSEC alebo Wazuh: Komplexnější HIDS řešení nabízející analýzu logů, kontrolu integrity, detekci rootkitů a upozornění v reálném čase.

Pravidelné Bezpečnostní Audity

Pravidelně kontrolujte bezpečnostní konfiguraci a logy vašeho serveru. Akce:

  • Spouštějte nástroje ako lynis (sudo apt install lynis poté sudo lynis audit system) k provedení bezpečnostního auditu a získání návrhů na posílení zabezpečenie.
  • Zkontrolujte naslouchající porty: sudo ss -tulnp alebo sudo netstat -tulnp.
  • Zkontrolujte používateľské účty a sudo oprávnění.

Fyzická Bezpečnosť (Ak Je Relevantní)

Ak spravujete fyzické servery, ujistěte se, že sú v bezpečném místě s omezeným přístupem.

Závěr

Zabezpečenie serveru Debian alebo Ubuntu je neustálý závazek, nikoli jednorázový úkol. Prostředí hrozeb se neustále mění, takže neustálá ostražitost, pravidelné aktualizace a periodické bezpečnostní kontroly sú nezbytné. Implementací těchto základních kroků posílení zabezpečenie můžete výrazně zlepšit bezpečnostní pozici vašich Linux serverů a chránit je proti široké škále běžných útoků. Nezapomeňte přizpůsobit táto doporučení vaší konkrétní roli serveru a bezpečnostním požadavkům.

« Späť na prehľad