Bezpieczeństwo serwerów Linux
Utwardzanie kluczy SSH
SSH to główne wejście każdego serwera Linux i najczęściej atakowana brute-force usługa w internecie. Uwierzytelnianie wyłącznie kluczami, wyłączone logowanie root, reguły fail2ban oraz niestandardowe porty razem eliminują niemal wszystkie zautomatyzowane włamania SSH, zachowując szybki dostęp dla uprawnionych administratorów.
Kluczowe punkty
- Przełączyć wszystkie konta na uwierzytelnianie kluczami ed25519 lub RSA-4096; całkowicie wyłączyć uwierzytelnianie hasłem.
- Ustawić PermitRootLogin na prohibit-password lub no, a administrację prowadzić przez użytkowników sudo.
- Przenieść SSH na niestandardowy wysoki port, aby odciąć 99% zautomatyzowanych skanów.
- Zabezpieczyć sshd regułami fail2ban: 3–5 niepowodzeń uruchamia eskalujące blokady.
- Ograniczyć SSH dyrektywami AllowUsers/AllowGroups oraz listami dozwolonych źródeł w firewallu, gdzie to możliwe.
- Wymusić limity bezczynności (ClientAliveInterval) i wyłączyć nieużywane przekazywanie.
- Audytować authorized_keys kwartalnie i niezwłocznie usuwać klucze osób, które odeszły.
- Rozważyć port-knocking lub SSH wyłącznie przez VPN dla serwerów o wysokiej wartości.
Notatka z praktyki
Lekcja, która zwykle zapada w pamięć, to własne zablokowanie: proszę zachować jedną aktywną sesję podczas przełączania na uwierzytelnianie wyłącznie kluczami i zalogować się na nowo z drugiego terminala, zanim cokolwiek zostanie zamknięte.
Częste pytania
Czy przechodząc na SSH wyłącznie z kluczami, można się zablokować?
Nie przy poprawnej kolejności: proszę dodać klucze, zweryfikować logowanie kluczem, dopiero potem wyłączyć hasła, zachowując jedną aktywną sesję przez cały czas zmiany.
Czy zmiana portu SSH to zabezpieczanie przez ukrywanie?
Częściowo, lecz usuwa niemal cały szum botów, dzięki czemu realne próby ataków stają się widoczne w logach zamiast ginąć w tłumie.
Czy logowanie root powinno być kiedykolwiek dozwolone?
Wyłącznie przez konsolę/KVM w sytuacjach awaryjnych. Codzienny root przez SSH to zbędne ryzyko.
A co z dwuskładnikowym uwierzytelnianiem SSH?
TOTP na kluczach doskonale sprawdza się na hostach pośrednich i serwerach zapasowych; wdrażamy je tam, gdzie pozwala na to proces pracy.
Jak Kinetikatech pomaga w bezpieczeństwo serwerów linux
Rozwiązywaliśmy to setki razy: Utwardzanie, monitorowanie i obrona serwerów CloudLinux, Rocky Linux i cPanel przed malware, atakami brute-force i włamaniami — 24/7. Z Bezpieczeństwo serwerów Linux i Zarządzanie serwerami otrzymują Państwo pełny cykl: oceniamy, wdrażamy, monitorujemy przez całą dobę i odpowiadamy w 30 minut, gdy ma to znaczenie.