Zabezpečení VPS serveru: SSH klíče, firewall a aktualizace

Zabezpečení VPS serveru nelze odkládat: po vytvoření serveru na veřejném internetu na něj velmi rychle začnou přicházet automatické pokusy o přihlášení. Nejde o cílený útok, ale o plošné skenování, které hledá slabá hesla a nezáplatované služby. Tento průvodce popisuje kroky, které se na běžném linuxovém serveru vyplatí udělat hned po prvním přihlášení.

Přihlášení přes SSH klíč

Místo hesla použijte pár klíčů: soukromý klíč zůstává na vašem zařízení a veřejný se uloží na server. Útočník, který nezná soukromý klíč, se nemůže přihlásit, a to ani kdyby znal všechny ostatní informace. Soukromý klíč chraňte heslem a nikdy ho nekopírujte na cizí místa.

Po ověření, že přihlášení klíčem funguje, vypněte v konfiguraci SSH přihlašování heslem a přímé přihlášení uživatele root. Konfiguraci měňte opatrně a nezavírejte stávající relaci, dokud si neověříte, že se lze přihlásit novým způsobem. Jinak se můžete ze serveru zablokovat.

Samostatný uživatel a oprávnění

Vytvořte běžného uživatele, který bude ke správě serveru využívat zvýšená oprávnění jen podle potřeby. Přímé používání účtu root zvyšuje dosah chyb i útoků. Pokud se útočník dostane do běžného účtu, musí ještě získat vyšší oprávnění, což mu postup ztěžuje.

Aplikace spouštějte pod vlastními, omezenými účty, ne pod rootem. Omezte, které soubory a složky mohou číst a zapisovat. Podobně jako u běžných počítačů platí zásada minimálních oprávnění, o které píšeme i v kategorii operační systémy.

Firewall a minimum služeb

Firewall nastavte tak, aby povoloval jen příchozí spojení ke službám, které skutečně provozujete, typicky SSH a případně webový server. Všechno ostatní zablokujte. Každá otevřená služba je potenciálním vstupem pro útočníka, proto vypněte nebo odinstalujte programy, které nepotřebujete.

Dodatečně můžete omezit přístup k SSH jen z vybraných adres nebo ho skrýt za VPN. Změna výchozího portu SSH snižuje množství záznamů v logech, ale není to skutečná ochrana. Spoléhá na utajení, proto ji berte jen jako doplněk silnějších opatření.

Aktualizace, logy a zálohy

Zapněte automatické bezpečnostní aktualizace nebo si naplánujte pravidelná okna údržby. Nepodporovaný systém nebo zastaralý software jsou jednou z nejčastějších příčin kompromitace serveru. Aktualizace mají smysl i pro aplikace, které na serveru běží, nejen pro samotný systém.

Sledujte logy přihlášení a nastavte upozornění na podezřelou aktivitu. Nástroje, které dočasně blokují adresy po opakovaných neúspěšných pokusech, pomáhají proti hádání hesel. Nejdůležitější je pravidelné zálohování mimo server, podrobnosti najdete v článku o zálohování. Zabezpečte i účet u poskytovatele pomocí ochrany účtů.

Typické chyby

K častým chybám patří ponechání výchozího hesla, otevření databáze do internetu, používání nešifrovaných protokolů ke správě a ukládání tajných klíčů přímo v kódu nebo v repozitářích. Další je zapomenutá testovací služba, která zůstane běžet a nikdo ji neaktualizuje.

Jednoduchým návykem je seznam: co na serveru běží, kdo má přístup, kde jsou zálohy a jak se obnoví provoz. Seznam udržujte a při každé změně ho aktualizujte. Základní pojmy najdete ve slovníku.