Opevnenie vašej linuxovej pevnosti: Základné zabezpečenie pre Debian a Ubuntu servery

25. 04. 2024| Pietro Dubsky

Debian a Ubuntu sú dve z najpopulárnejších linuxových distribúcií pre servery, cenené pre svoju stabilitu, rozsiahle repozitáre balíčkov a silnú komunitnú podporu. Predvolená inštalácia, hoci funkčná, však často nie je dostatočne posilnená proti nespočetným hrozbám prítomným na internete. Zabezpečenie vášho Linux servera je kritický a neustály proces. Tento sprievodca pokryje základné kroky na opevnenie vášho servera Debian alebo Ubuntu.

Prečo je posilnenie zabezpečenia servera kľúčové

Servery, najmä tie vystavené internetu, sú neustálymi cieľmi automatizovaných útokov, hackerov hľadajúcich zraniteľnosti a botnetov. Kompromitovaný server môže viesť k:

Únikom dát a krádeži citlivých informácií.
Prerušeniu služieb a výpadkom.
Využitiu vášho servera na škodlivé aktivity (napr. odosielanie spamu, hosťovanie phishingových stránok, účasť na DDoS útokoch).
Poškodeniu povesti.
Finančným stratám.

Posilnenie zabezpečenia servera (server hardening) zahŕňa konfiguráciu systému tak, aby sa znížila jeho útočná plocha a zlepšila celková bezpečnostná pozícia. Vyčerpávajúcim referenčným zdrojom je Securing Debian Manual a konfiguračné CIS Benchmarks.

Počiatočné nastavenie servera a používateľské účty

1. Vytvorte neprivilegovaného používateľa s právami sudo

Prihlasovanie a práca priamo ako používateľ root je riskantná. Jediná chyba môže mať katastrofálne následky. Akcia: Ihneď po počiatočnom nastavení servera vytvorte nový používateľský účet a udeľte mu práva sudo.

# Ako root
adduser novypouzivatel
usermod -aG sudo novypouzivatel
# Potom sa odhláste ako root a prihláste sa ako novypouzivatel

Vždy používajte tohto používateľa na každodennú správu a príkazy vyžadujúce administrátorské oprávnenia prefixujte slovom sudo.

2. Zakážte prihlásenie roota cez SSH

Akonáhle je váš sudo používateľ nastavený a otestovaný, zakážte priame prihlásenie roota cez SSH, aby ste znížili riziko útokov hrubou silou cieliacich na root účet. Akcia: Upravte konfiguračný súbor SSH (sudo nano /etc/ssh/sshd_config) a nastavte:

PermitRootLogin no

Potom reštartujte službu SSH: sudo systemctl restart ssh alebo sudo systemctl restart sshd.

3. Používajte silné heslá (a zvážte SSH kľúče)

Uistite sa, že všetky používateľské účty, najmä váš sudo používateľ, majú veľmi silné, jedinečné heslá. Akcia: Na ich generovanie použite správcu hesiel. Ešte lepšie, nastavte overovanie pomocou SSH kľúčov, ktoré je výrazne bezpečnejšie než overovanie heslom, a potom úplne zakážte overovanie heslom pre SSH (pozri ďalšiu sekciu).

Zabezpečenie prístupu cez SSH

SSH (Secure Shell) je primárny spôsob vzdialeného prístupu a správy Linux serverov. Jeho zabezpečenie je prvoradé.

1. Používajte overovanie pomocou SSH kľúčov

SSH kľúče sa skladajú z verejného kľúča (umiestneného na serveri) a súkromného kľúča (bezpečne uloženého na vašom klientskom počítači). Prihlásiť sa môžete iba vtedy, ak vlastníte súkromný kľúč. Akcia: Vygenerujte pár SSH kľúčov na vašom lokálnom počítači (ssh-keygen) a skopírujte verejný kľúč do súboru ~/.ssh/authorized_keys vášho sudo používateľa na serveri. Otestujte to a potom zvážte zakázanie overovania heslom.

2. Zakážte overovanie heslom pre SSH (po nastavení kľúčov)

To zabraňuje útokom hrubou silou na heslá proti SSH. Akcia: V /etc/ssh/sshd_config nastavte:

PasswordAuthentication no
PubkeyAuthentication yes
ChallengeResponseAuthentication no

Reštartujte službu SSH.

3. Zmeňte predvolený SSH port (bezpečnosť cez utajenie – voliteľné)

Automatizované boty často skenujú SSH na predvolenom porte 22. Jeho zmena môže znížiť počet automatizovaných pokusov o prihlásenie. Akcia: V /etc/ssh/sshd_config zmeňte Port 22 na neštandardný port (napr. Port 2222). Nezabudnite povoliť nový port vo vašom firewalle pred reštartovaním SSH. Poznámka: Toto je menšie bezpečnostné opatrenie a nemalo by sa naň spoliehať ako na primárnu obranu.

4. Implementujte Fail2Ban

Fail2Ban je softvér na prevenciu narušenia, ktorý monitoruje log súbory (napr. pre SSH, Apache) a zakazuje IP adresy, ktoré vykazujú škodlivé známky, ako je príliš veľa neúspešných pokusov o zadanie hesla. Akcia: Nainštalujte a nakonfigurujte Fail2Ban:

sudo apt update
sudo apt install fail2ban
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local # Nakonfigurujte nastavenia, najmä pre SSH
sudo systemctl enable fail2ban
sudo systemctl start fail2ban

Konfigurácia firewallu

Firewall riadi prichádzajúci a odchádzajúci sieťový prevoz na základe preddefinovaných bezpečnostných pravidiel.

1. Používajte UFW (Uncomplicated Firewall) alebo nftables

Debian a Ubuntu často prichádzajú s UFW, používateľsky prívetivým rozhraním na správu pravidiel firewallu (ktoré pod kapotou používa nftables alebo iptables). Akcia:

Nainštalujte UFW, ak nie je prítomný: sudo apt install ufw
Nastavte predvolené politiky: sudo ufw default deny incoming a sudo ufw default allow outgoing.

Povoľte nevyhnutné služby (napr. SSH na vašom vlastnom porte, HTTP, HTTPS):

sudo ufw allow 2222/tcp  # Alebo váš vlastný SSH port
sudo ufw allow http
sudo ufw allow https

Povoľte UFW: sudo ufw enable
Skontrolujte stav: sudo ufw status verbose

Systémové aktualizácie a správa záplat

Udržiavanie vášho systému a nainštalovaných balíčkov aktuálnych je jedným z najúčinnejších spôsobov ochrany proti známym zraniteľnostiam. Akcia:

Pravidelne aktualizujte svoj systém:

sudo apt update
sudo apt upgrade
sudo apt full-upgrade # Občas, pre aktualizácie jadra atď.
sudo apt autoremove   # Odstránenie nepoužívaných balíčkov

Zvážte povolenie unattended-upgrades na automatickú inštaláciu bezpečnostných aktualizácií: sudo apt install unattended-upgrades a nakonfigurujte ho (sudo dpkg-reconfigure --priority=low unattended-upgrades).

Unikátnosť nainštalovaného softvéru (znížte útočnú plochu)

Každý kus softvéru nainštalovaný na vašom serveri potenciálne zvyšuje jeho útočnú plochu. Akcia: Odinštalujte všetky nepotrebné balíčky a služby. Ak ich nepoužívate, odstráňte ich.

sudo apt list --installed # Na zobrazenie nainštalovaných balíčkov
sudo apt remove nazov_balicka
sudo apt purge nazov_balicka # Na odstránenie aj konfiguračných súborov

Logovanie a monitorovanie

Systémové logy sú kľúčové na detekciu podozrivej aktivity, riešenie problémov a forenznú analýzu po incidente. Akcia:

Oboznámte sa s bežnými umiestneniami log súborov (napr. /var/log/auth.log pre autentizáciu, /var/log/syslog pre všeobecné systémové správy).
Uistite sa, že služby ako rsyslog bežia.
Zvážte centralizované logovanie, ak spravujete viac serverov.
Nainštalujte nástroje ako logwatch na získanie denných súhrnov aktivity v logu.

Systémy detekcie narušenia (IDS)

IDS môže monitorovať sieťové alebo systémové aktivity a odhaľovať škodlivé aktivity alebo porušenia politík a hlásiť ich. Akcia: Zvážte host-based IDS (HIDS) ako:

Tripwire (AIDE je bezplatná alternatíva): Monitoruje integritu súborového systému a odhaľuje neoprávnené zmeny.
OSSEC alebo Wazuh: Komplexnejšie HIDS riešenia ponúkajúce analýzu logov, kontrolu integrity, detekciu rootkitov a upozornenia v reálnom čase.

Pravidelné bezpečnostné audity

Pravidelne kontrolujte bezpečnostnú konfiguráciu a logy vášho servera. Akcia:

Spúšťajte nástroje ako lynis (sudo apt install lynis potom sudo lynis audit system) na vykonanie bezpečnostného auditu a získanie návrhov na posilnenie zabezpečenia.
Skontrolujte počúvajúce porty: sudo ss -tulnp alebo sudo netstat -tulnp.
Skontrolujte používateľské účty a sudo oprávnenia.

Fyzická bezpečnosť (ak je relevantná)

Ak spravujete fyzické servery, uistite sa, že sú na bezpečnom mieste s obmedzeným prístupom.

Záver

Zabezpečenie servera Debian alebo Ubuntu je neustály záväzok, nie jednorazová úloha. Prostredie hrozieb sa neustále mení, takže neustála ostražitosť, pravidelné aktualizácie a periodické bezpečnostné kontroly sú nevyhnutné. Implementáciou týchto základných krokov posilnenia zabezpečenia môžete výrazne zlepšiť bezpečnostnú pozíciu vašich Linux serverov a chrániť ich proti širokej škále bežných útokov. Nezabudnite prispôsobiť tieto odporúčania konkrétnej úlohe vášho servera a bezpečnostným požiadavkám.