Безпека серверів Linux
Посилення доступу SSH за ключами
SSH — це парадний вхід кожного сервера Linux і сервіс, який перебирають найчастіше за все в інтернеті. Автентифікація лише ключами, вимкнений вхід під root, в'язни fail2ban і нестандартні порти разом відсікають майже всі автоматичні спроби проникнення, не сповільнюючи при цьому легітимний доступ адміністратора.
Головне
- Переведіть усі облікові записи на ключі ed25519 або RSA-4096 і повністю вимкніть парольну автентифікацію.
- Виставте PermitRootLogin у prohibit-password або no й керуйте через користувачів із sudo.
- Перенесіть SSH на нестандартний високий порт, щоб відкинути 99% автоматичних сканувань.
- Ув'яжіть sshd у fail2ban: 3-5 невдалих спроб запускають каскадні банери.
- Обмежте SSH через AllowUsers/AllowGroups, а де можливо — ще й списками дозволених адрес у брандмауері.
- Застосуйте таймаут бездіяльності (ClientAliveInterval) і вимкніть непотрібне переадресування.
- Аудитуйте authorized_keys щокварталу й одразу видаляйте ключі звільнених співробітників.
- Для серверів із високою вартістю розгляньте port knocking або SSH лише через VPN.
Часті запитання
Чи не залишуся я без доступу, перейшовши на SSH лише з ключами?
Ні, якщо робити це поетапно: додайте ключі, переконайтеся, що вхід із ключем працює, і лише потім вимикайте паролі, тримаючи під час змін одну активну сесію відкритою.
Чи є зміна порту SSH безпекою через прихованість?
Певною мірою так, але вона прибирає майже весь ботнетний шум, і справжні спроби атаки стають видимими в журналах, а не ховаються в ньому.
Чи варто коли-небудь дозволяти вхід під root?
Тільки через консоль чи KVM в екстрених випадках. Щоденний root через SSH — це зайвий ризик.
Що з двопрофільною автентифікацією для SSH?
TOTP поверх ключів — чудове рішення для jump-хостів і резервних серверів; ми впроваджуємо його там, де дозволяє робочий процес.
Допомога Kinetikatech: безпека серверів linux
Вам не обов'язково ставати експертом із безпека серверів linux: Посилення, моніторинг і захист серверів CloudLinux, Rocky Linux та cPanel від шкідливого ПЗ, перебору й проникнень, цілодобово. Саме для цього й існує служба Безпека серверів Linux та Адміністрування серверів: налаштування, посилення захисту, моніторинг і жива людина на зв'язку цілодобово.