אבטחת שרתי לינוקס
הקשחת מפתחות SSH
SSH הוא הדלת הקדמית של כל שרת Linux והשירות הכי מותקף ב-brute force באינטרנט. אימות במפתח בלבד, השבתת התחברות root, כלאות fail2ban ופורטים לא סטנדרטיים יחד מבטלים כמעט כל חדירת SSH אוטומטית — תוך שמירה על גישת ניהול לגיטימית ומהירה.
נקודות עיקריות
- להעביר את כל החשבונות לאימות במפתח ed25519 או RSA-4096; להשבית אימות סיסמה לחלוטין.
- להגדיר PermitRootLogin ל-prohibit-password או no, ולנהל דרך משתמשי sudo.
- להעביר SSH לפורט גבוה לא סטנדרטי כדי להיפטר מ-99% מהסריקות האוטומטיות.
- לכלוא את sshd ב-fail2ban: 3–5 כשלונות מפעילים חסימות מדורגות.
- להגביל SSH עם AllowUsers/AllowGroups ובנוסף רשימות מקור מותרות ב-firewall היכן שאפשר.
- לאכוף timeouts לחוסר פעילות (ClientAliveInterval) ולהשבית forwarding שאינו בשימוש.
- לבקר authorized_keys בכל רבעון ולהסיר מיד מפתחות של עובדים שעזבו.
- לשקול port-knocking או SSH דרך VPN בלבד בשרתי ערך גבוה.
שאלות נפוצות
האם אני אנעל בחוץ במעבר ל-SSH עם מפתח בלבד?
לא, אם עושים זאת בהדרגה: מוסיפים מפתחות, מאמתים שהתחברות במפתח עובדת, ואז משביתים סיסמאות — ותמיד משאירים סשן אחד פתוח בזמן השינוי.
האם שינוי פורט SSH הוא security through obscurity?
חלקית, אבל הוא מסיר כמעט את כל הרעש של בוטים, וכך ניסיונות תקיפה אמיתיים נראים ביומנים במקום להיות קבורים.
האם אי פעם מותר לאפשר התחברות root?
רק דרך קונסולה או KVM במקרי חירום. root יומיומי ב-SSH הוא סיכון מיותר.
מה עם אימות דו-שלבי ל-SSH?
TOTP מעל מפתחות מצוין לשרתי jump ולשרתי גיבוי; אנחנו פורסים אותו היכן שזרימת העבודה מאפשרת.
איך Kinetikatech מסייעת לך ב-אבטחת שרתי לינוקס
נתקלנו בזה מספיק פעמים: ניהול וחיזוק שרתי Linux על CloudLinux ו-Rocky Linux עם cPanel – הגנה מקצועית וניטור 24/7. עם אבטחת שרתי לינוקס וניהול שרתים מקבלים את כל המחזור — הערכה, יישום, ניטור 24/7 ותגובה בתוך 30 דקות כשזה נחשב.