Защитете своя сървър. Всички атаки и промени в един панел.

Fail2ban чете журналите на услугите и банва адресите, които не преминават през удостоверяване. Панелът показва всички jail-ове на един екран: колко адреса са блокирани в момента, колко от старта на услугата и кой jail ги е хванал. Jail, който не е хванал абсолютно нищо, се вижда също толкова ясно, колкото работещият — най-често това означава, че чете грешен журнален файл.

IPSUM — ежедневно обновяван списък с адреси, забелязани в атаки срещу чужди сървъри. Ipset го държи в паметта на ядрото, затова проверката на стотици хиляди адреси не натоварва защитната стена. Панелът показва размера на списъка и часа на последното обновяване: това е защита още преди първия опит — адресът се отрязва, преди да достигне до услугата.

Lynis изпълнява стотици проверки на конфигурацията и извежда hardening index — оценка от 100. Мониторът анализира отчета и показва предупрежденията и препоръките заедно с идентификатора на теста, за да може да се види какво означава всяка от тях. 100 от 100 не е цел: част от препоръките са писани за сценарии, които не съществуват на Вашия сървър.

ModSecurity с набор правила OWASP CRS филтрира HTTP заявките в самия уеб сървър — вече след разшифроването, там, където съдържанието на заявката е видимо. Панелът чете журнала за одит: коя заявка е блокирана, кое правило се е задействало, каква е била оценката за аномалия и откъде е дошла заявката. Тук се гледа преди всичко заради фалшивите задействания: едно и също правило, което раз след раз хваща собствената Ви форма.

Suricata анализира мрежовия трафик по сигнатури и записва откритията в eve.json. Мониторът чете този файл директно на сървъра и показва известията за денонощие, групирани по категории — без Elasticsearch и Kibana, които на един VPS тежат повече от наблюдаваната машина. Свежата инсталация мълчи, докато suricata-update не се изпълни поне веднъж: в нея все още няма правила.

CrowdSec анализира журналите по сценарии и взима решения за блокиране, като се опира и на адресите, за които са съобщили други участници в мрежата — нападателят често идва вече познат. Панелът показва активните решения със сценария и оставащото време, а до тях — регистрираните bouncer-и, които изпълняват тези решения. Ако вторият списък е празен, CrowdSec само известява и не блокира нищо.

Falco следи за системните извиквания и вдига известие, когато процес прави нещо, което не му влиза в работата: стартира обвивка от уеб сървъра, пише в директорията със системни бинарни файлове, отваря неочаквана изходяща връзка. Панелът показва известията с приоритет, задействалото се правило и командния ред на процеса. Kubernetes не е нужен — на обикновен сървър Falco работи по същия начин.

Антивирусът на Linux не защитава собствените си бинарни файлове, а онова, което попада на сървъра отвън: уеб-шелове през формата за качване, прикачени файлове през пощенския сървър, зловреден код във временните директории. Панелът показва времето на последната проверка, какво е открила тя и — най-важното поле — възрастта на базата със сигнатури. ClamAV със сигнатури отпреди седмица създава привидна защита и нищо повече.

AIDE прави криптографски отпечатък на файловата система и показва какво се е променило от последната проверка — отговаря на въпроса, който другите инструменти избягват: до какво са се докосвали. Панелът показва три списъка: добавени, променени и изтрити файлове заедно с разминаващите се атрибути. Най-честият сутрешен отчет се дължи на нощните обновления на пакети — проверете времето и възстановете базата.

Демонът за одит записва точно тези събития, за които е бил зададен: промени в /etc/passwd и /etc/shadow, редакции на sshd_config, стартиране на бинарни файлове за повишаване на привилегиите. Панелът показва заредените в момента правила, следените пътища и последните събития с процеса и резултата. Да виждате правилата е също толкова важно, колкото и събитията: празният набор е най-честата причина auditd да изглежда работещ, но да не записва нищо ценно.

UFW ви спестява синтаксиса на iptables, но не помага да разгадаете набор от правила месеци по-късно. Панелът показва правилата с действие, порт, протокол и източник, а най-отпред извежда политиките по подразбиране за входящия и изходящия трафик — именно за тях обикновено се забравя. Строгият на пръв поглед набор от правила не значи нищо, ако политиката по подразбиране е останала на allow.

Този, който сканира портове, не оставя нито един неуспешен опит за вход, затова Fail2ban не го засича. PSAD запълва тази празнина: той чете записите на защитната стена за отхвърления трафик и оценява намереното. Панелът показва отбелязаните адреси, ниво на опасност от 1 до 5, броя пакети и портовете. Без правило за журналиране в защитната стена PSAD мълчи — това е обичайната причина за празна страница след инсталиране.

Автоматичното подновяване реши по-голямата част от проблема и създаде негова по-тиха версия: сертификатите се подновяват сами — до деня, в който спрат, а първи разбира за това посетителят. Панелът изброява сертификатите, които сървърът предоставя: издател, дата на изтичане, оставащи дни. По-малко от тридесет дни при сертификат с автоматично подновяване означава, че подновяването вече от известно време тихомълком не сработва.

Картата нанася адресите, които е блокирал вашият собствен сървър, локализирани до държава и мащабирани спрямо броя попадения. Това не е купен отнякъде поток от данни за заплахи: всяка точка е трафик, достигнал до тази машина. Картата става полезна с времето: струпване от една мрежа обикновено означава един извършител, който върви по списък, а равномерното разсейване е обичайният интернет шум.

Logwatch обобщава журналите за денонощие в един отчет и го изпраща по имейл — където той след няколко седмици се озовава в папка, в която никой не поглежда. Проблемът никога не е бил в информацията, а в доставката ѝ. Панелът пази отчетите на сървъра и ги показва на страници, с архив за предишните дни: един ден казва какво се е случило, а една седмица — какво се е променило.

Monit следи за процеси, файлове, файлови системи и възли и рестартира това, което завари в неизправност. Мониторът показва всяка проверка с текущото ѝ състояние, наблюдавания обект и броя намеси. Броячът на рестартирания е най-честното поле: услуга, рестартирана четиридесет пъти, не е здрава — тя се срива отново и отново, а рестартиранията го прикриват.

Влизане в панела с хардуерен ключ, Touch ID или Face ID вместо втора парола. Ключът потвърждава домейна на ниво протокол, затова копие на страницата за вход на подобен адрес няма да сработи — фишингът няма какво да прехване. Може да добавите няколко ключа, всеки със свое име и време на последна употреба, и да отзовете всеки от тях поотделно.

Кое на тази машина е достъпно отвън — това е най-полезният въпрос за сигурността, а изхода на ss се налага да преглеждате с очи всеки път. Панелът показва слушащите сокети с порт, протокол, адрес на свързване и процес, а по-долу — установените връзки. Първо си струва да прочетете адреса на свързване: услуга на 127.0.0.1 е достъпна само от самата машина, същата услуга на 0.0.0.0 — за целия интернет.

Top отговаря на въпрос за текущата секунда, а обикновено питат за миналата нощ. Колекторът веднъж на всеки пет минути добавя ред в базата, а страницата чертае по него последното денонощие: load average, CPU и I/O wait поотделно, памет и swap, мрежа, диск, TCP връзки, файлови дескриптори. Графиките е добре да се четат по двойки: висок I/O wait при спокоен CPU означава, че сървърът чака диска и добавянето на процесорни ядра е безсмислено.

Дисковите беди са две и не си приличат: устройство за съхранение, което започва да отказва, и файлова система, която се запълва и повлича след себе си услугите. Панелът покрива и двете — заетостта на дяловете, SMART атрибутите и температурата. Отказът се предвещава от три атрибута: преназначени сектори, изчакващи и неотстраними в офлайн. Отделно се показват inode — те свършват преди свободното място и обясняват записите, които не преминават на диск със свободно място.

Задължителният контрол на достъпа определя какво е позволено на дадена програма, независимо от правата на потребителя, който я е стартирал. AppArmor е наличен на повечето сървъри с Ubuntu и Debian, а на много от тях почти нищо не ограничава. Панелът показва заредените профили с режима им, процесите под ограничение и — по-интересната половина — процесите изобщо без профил. Профил в режим complain само записва какво би блокирал; ограничава единствено enforce.