আপনার সার্ভারকে সুরক্ষিত রাখুন। সব আক্রমণ ও পরিবর্তন এক প্যানেলে।

Fail2ban সার্ভিসের জার্নাল পড়ে এবং যেসব ঠিকানা অথেন্টিকেশনে ব্যর্থ হয় সেগুলো ব্যান করে। প্যানেল সব jail এক স্ক্রিনে দেখায়: এখন কতগুলো ঠিকানা ব্লক করা আছে, সার্ভিস চালু হওয়ার পর থেকে কতগুলো এবং কোন jail সেগুলো ধরেছে। কিছুই ধরেনি এমন jail-ও চালু jail-এর মতোই স্পষ্ট দেখা যায় — বেশিরভাগ ক্ষেত্রে এর মানে এটি ভুল জার্নাল ফাইল পড়ছে।

IPSUM — অন্যদের সার্ভারে আক্রমণে জড়িত থাকতে দেখা যাওয়া ঠিকানার একটি প্রতিদিন হালনাগাদ হওয়া তালিকা। Ipset এটি কার্নেল মেমরিতে রাখে, তাই লক্ষ লক্ষ ঠিকানা যাচাই করলেও ফায়ারওয়ালে চাপ পড়ে না। প্যানেল তালিকার আকার ও সর্বশেষ আপডেটের সময় দেখায়: এটি প্রথম প্রচেষ্টার আগেই সুরক্ষা — ঠিকানাটি সার্ভিসে পৌঁছানোর আগেই আটকে দেওয়া হয়।

Lynis শত শত কনফিগারেশন পরীক্ষা চালায় এবং hardening index দেখায় — ১০০-এর মধ্যে একটি স্কোর। প্যানেল রিপোর্টটি বিশ্লেষণ করে এবং প্রতিটি পরীক্ষার আইডিসহ সতর্কতা ও সুপারিশ দেখায়, যাতে প্রতিটির মানে কী তা আপনি দেখতে পারেন। ১০০-তে ১০০ পাওয়া লক্ষ্য নয়: কিছু সুপারিশ এমন পরিস্থিতির জন্য লেখা যা আপনার সার্ভারে নেই।

OWASP CRS রুলসেট সহ ModSecurity ওয়েব সার্ভারের ভেতরেই HTTP অনুরোধ ফিল্টার করে — ডিক্রিপশনের পরেই, যেখানে অনুরোধের বিষয়বস্তু দেখা যায়। প্যানেল অডিট জার্নাল পড়ে: কোন অনুরোধ ব্লক হয়েছে, কোন রুল কাজ করেছে, অ্যানোমালি স্কোর কত ছিল এবং অনুরোধ কোথা থেকে এসেছে। এখানে সবচেয়ে বেশি দেখা হয় ভুল শনাক্তকরণের জন্য: একই রুল বারবার আপনার নিজের ফর্মকেই আটকাচ্ছে।

Suricata সিগনেচার অনুযায়ী নেটওয়ার্ক ট্র্যাফিক বিশ্লেষণ করে এবং প্রাপ্ত ফলাফল eve.json-এ লেখে। প্যানেলটি এই ফাইলটি সরাসরি সার্ভারেই পড়ে এবং গত ২৪ ঘণ্টার সতর্কতাগুলো ক্যাটাগরি অনুযায়ী গ্রুপ করে দেখায় — Elasticsearch ও Kibana ছাড়াই, যেগুলো একটি VPS-এ পর্যবেক্ষণাধীন মেশিনের চেয়েও বেশি জায়গা নেয়। নতুন ইনস্টলেশন ততক্ষণ নীরব থাকে যতক্ষণ না অন্তত একবার suricata-update চলে: এতে এখনও কোনো রুল নেই।

CrowdSec সিনারিও অনুযায়ী জার্নাল বিশ্লেষণ করে এবং নেটওয়ার্কের অন্য সদস্যরা যেসব ঠিকানার কথা জানিয়েছে সেগুলোর ভিত্তিতেও ব্লক করার সিদ্ধান্ত নেয় — আক্রমণকারী প্রায়ই আগে থেকেই পরিচিত হিসেবে আসে। প্যানেলে কার্যকর সিদ্ধান্তগুলো সিনারিও ও অবশিষ্ট সময়সহ দেখানো হয়, আর পাশে থাকে নিবন্ধিত bouncer, যারা এই সিদ্ধান্তগুলো কার্যকর করে। দ্বিতীয় তালিকাটি খালি থাকলে CrowdSec শুধু সতর্ক করে, কিছুই ব্লক করে না।

Falco সিস্টেম কল পর্যবেক্ষণ করে এবং কোনো প্রসেস যখন তার এখতিয়ারের বাইরের কাজ করে তখন সতর্কতা তোলে: ওয়েব সার্ভার থেকে শেল চালু করা, সিস্টেম বাইনারির ডিরেক্টরিতে লেখা, অপ্রত্যাশিত আউটগোয়িং সংযোগ খোলা। ড্যাশবোর্ড অগ্রাধিকার, যে রুল সক্রিয় হয়েছে এবং প্রসেসের কমান্ড লাইনসহ সতর্কতাগুলো দেখায়। এর জন্য Kubernetes লাগে না — সাধারণ সার্ভারেও Falco একইভাবে কাজ করে।

Linux-এ অ্যান্টিভাইরাস নিজের বাইনারি রক্ষা করে না, বরং বাইরে থেকে সার্ভারে আসা জিনিসগুলো রক্ষা করে: আপলোড ফর্মের মাধ্যমে ওয়েব-শেল, মেইল সার্ভারের অ্যাটাচমেন্ট, অস্থায়ী ডিরেক্টরিতে থাকা পেলোড। প্যানেল দেখায় শেষ পরীক্ষার সময়, কী পাওয়া গেছে এবং — সবচেয়ে জরুরি ক্ষেত্র — সিগনেচার ডেটাবেসের বয়স। সপ্তাহখানেক পুরোনো সিগনেচারযুক্ত ClamAV কেবল সুরক্ষার ভান তৈরি করে, তার বেশি কিছু নয়।

AIDE ফাইল সিস্টেমের একটি ক্রিপ্টোগ্রাফিক ছাপ নেয় এবং গত পরীক্ষার পর কী কী বদলেছে তা জানায় — যে প্রশ্নটি অন্য সব টুল এড়িয়ে যায় তার উত্তর দেয়: তারা কী কী স্পর্শ করেছে। প্যানেলটি তিনটি তালিকা দেখায়: যোগ হওয়া, পরিবর্তিত ও মুছে ফেলা ফাইল, সেই সঙ্গে পরিবর্তিত অ্যাট্রিবিউটগুলো। সবচেয়ে সাধারণ সকালের রিপোর্টের কারণ রাতের প্যাকেজ আপডেট — সময় মিলিয়ে দেখুন এবং বেস পুনর্নির্মাণ করুন।

অডিট ডেমন ঠিক সেই ইভেন্টগুলোই রেকর্ড করে যেগুলো তাকে করতে বলা হয়েছে: /etc/passwd ও /etc/shadow-এর পরিবর্তন, sshd_config-এর সম্পাদনা, প্রিভিলেজ বাড়ানোর বাইনারি চালু হওয়া। প্যানেল এই মুহূর্তে লোড হওয়া রুল, নজরে রাখা পাথ এবং প্রক্রিয়া ও ফলাফলসহ সাম্প্রতিক ইভেন্ট দেখায়। রুল দেখা ইভেন্ট দেখার চেয়ে কম গুরুত্বপূর্ণ নয়: খালি রুলসেটই সবচেয়ে সাধারণ কারণ, যার ফলে auditd চালু আছে বলে মনে হলেও কোনো মূল্যবান কিছু লেখে না।

UFW আপনাকে iptables-এর জটিল সিনট্যাক্স থেকে মুক্তি দেয়, কিন্তু কয়েক মাস পরে রুলসেটটা বুঝতে সাহায্য করে না। প্যানেলে প্রতিটি রুল দেখানো হয় অ্যাকশন, পোর্ট, প্রোটোকল ও উৎসসহ, আর সামনে তুলে ধরা হয় ইনকামিং ও আউটগোয়িং ট্রাফিকের ডিফল্ট পলিসি — সাধারণত এগুলোই লোকে ভুলে যায়। দেখতে কড়া রুলসেটও কোনো অর্থ রাখে না, যদি ডিফল্ট পলিসি allow-তেই থেকে যায়।

যে ব্যক্তি পোর্ট স্ক্যান করে, সে একটিও ব্যর্থ লগইন প্রচেষ্টা রেখে যায় না, তাই Fail2ban তাকে দেখতে পায় না। PSAD এই ফাঁকটি পূরণ করে: এটি ফায়ারওয়ালের বাতিল হওয়া ট্র্যাফিকের রেকর্ড পড়ে এবং যা পাওয়া যায় তা মূল্যায়ন করে। প্যানেলে চিহ্নিত ঠিকানা, ১ থেকে ৫ পর্যন্ত ঝুঁকির মাত্রা, প্যাকেটের সংখ্যা এবং পোর্ট দেখানো হয়। ফায়ারওয়ালে লগিং রুল না থাকলে PSAD নীরব থাকে — ইনস্টলের পরে খালি পৃষ্ঠা দেখানোর এটিই সাধারণ কারণ।

অটো-রিনিউয়াল সমস্যার বেশিরভাগ সমাধান করেছে এবং এর একটি আরও নীরব সংস্করণ তৈরি করেছে: সার্টিফিকেট নিজেরাই নিজেদের রিনিউ করে — যতক্ষণ না একদিন তা বন্ধ হয়ে যায়, আর প্রথম এটি টের পান ভিজিটর। প্যানেলটি সার্ভার যেসব সার্টিফিকেট সরবরাহ করে তার তালিকা দেখায়: ইস্যুকারী, মেয়াদ শেষের তারিখ, অবশিষ্ট দিন। অটো-রিনিউয়াল সহ কোনো সার্টিফিকেটের ত্রিশ দিনের কম বাকি থাকা মানে রিনিউয়াল ইতিমধ্যে কিছুকাল ধরে নীরবে কাজ করছে না।

এই ম্যাপে আপনার নিজের সার্ভার যেসব ঠিকানা ব্লক করেছে সেগুলো দেখানো হয়, দেশ পর্যন্ত রেজলভ করা এবং হিটের সংখ্যা অনুযায়ী স্কেল করা। এটি বাইরে থেকে কেনা কোনো থ্রেট ডেটা স্ট্রিম নয়: প্রতিটি বিন্দুই এই মেশিনে এসে পৌঁছানো ট্রাফিক। ম্যাপটি সময়ের সাথে কাজে আসে: একটি নেটওয়ার্ক থেকে জমাট বাঁধা বিন্দু সাধারণত মানে একজনই আক্রমণকারী তালিকা ধরে এগোচ্ছে, আর সমান ছড়িয়ে থাকা বিন্দু মানে সাধারণ ইন্টারনেট নয়েজ।

Logwatch দিনভরের জার্নালগুলোকে একটি রিপোর্টে সংক্ষিপ্ত করে ইমেলে পাঠিয়ে দেয় — আর সপ্তাহ দুয়েক পরে সেটি এমন এক ফোল্ডারে পড়ে থাকে যেখানে কেউ উঁকিও দেয় না। সমস্যা কখনও তথ্য ছিল না, সমস্যা ছিল পৌঁছে দেওয়া। প্যানেল রিপোর্টগুলো সার্ভারেই রাখে এবং আগের দিনগুলোর আর্কাইভসহ পৃষ্ঠায় পৃষ্ঠায় দেখায়: একটি দিন বলে কী ঘটেছে, আর এক সপ্তাহ বলে কী বদলেছে।

Monit প্রসেস, ফাইল, ফাইল সিস্টেম ও নোড পর্যবেক্ষণ করে এবং ভেঙে যাওয়া যেকোনো কিছু পুনরায় চালু করে। প্যানেলে প্রতিটি পরীক্ষা তার বর্তমান অবস্থা, পর্যবেক্ষণাধীন অবজেক্ট ও হস্তক্ষেপের সংখ্যাসহ দেখানো হয়। রিস্টার্ট কাউন্টারই সবচেয়ে সৎ ফিল্ড: চল্লিশবার রিস্টার্ট হওয়া কোনো সার্ভিস সুস্থ নয়—এটি বারবার পড়ে যাচ্ছে, আর রিস্টার্টগুলো তা আড়াল করছে।

দ্বিতীয় পাসওয়ার্ডের বদলে হার্ডওয়্যার কী, Touch ID বা Face ID দিয়ে প্যানেলে লগইন। কী প্রোটোকল স্তরে ডোমেন যাচাই করে, তাই কাছাকাছি ঠিকানায় থাকা লগইন পেজের নকল কপি কাজ করবে না — ফিশিংয়ের কিছুই ধরার থাকে না। একাধিক কী তৈরি করা যায়, প্রতিটির নিজস্ব নাম ও শেষ ব্যবহারের সময়সহ, এবং যেকোনোটি আলাদাভাবে প্রত্যাহার করা যায়।

এই মেশিনে বাইরে থেকে কী কী নাগালযোগ্য — এটাই নিরাপত্তার সবচেয়ে দরকারি প্রশ্ন, অথচ ss-এর আউটপুট প্রতিবার চোখ দিয়ে পড়ে বুঝতে হয়। প্যানেলে লিসেনিং সকেটগুলো পোর্ট, প্রোটোকল, বাইন্ড অ্যাড্রেস ও প্রসেসসহ দেখানো হয়, আর নিচে থাকে স্থাপিত সংযোগগুলো। প্রথমে বাইন্ড অ্যাড্রেস পড়া উচিত: 127.0.0.1-এ থাকা সার্ভিস কেবল মেশিন থেকেই অ্যাক্সেসযোগ্য, একই সার্ভিস 0.0.0.0-এ থাকলে তা গোটা ইন্টারনেটের জন্য উন্মুক্ত।

Top বর্তমান সেকেন্ডের প্রশ্নের উত্তর দেয়, অথচ প্রশ্ন সাধারণত গত রাত নিয়ে করা হয়। কালেক্টর প্রতি পাঁচ মিনিটে ডেটাবেসে একটি করে সারি যোগ করে, আর পেজটি তার উপর ভিত্তি করে গত ২৪ ঘণ্টা এঁকে দেখায়: load average, CPU ও I/O wait আলাদাভাবে, মেমরি ও swap, নেটওয়ার্ক, ডিস্ক, TCP সংযোগ, ফাইল ডেসক্রিপটর। গ্রাফগুলো জোড়ায় জোড়ায় পড়া উচিত: CPU শান্ত থাকা অবস্থায় উচ্চ I/O wait মানে সার্ভার ডিস্কের জন্য অপেক্ষা করছে, আর প্রসেসর কোর বাড়ানো অর্থহীন।

ডিস্ক সংক্রান্ত ঝামেলা দুই ধরনের, আর একটি অন্যটির মতো নয়: যে ড্রাইভ ধীরে ধীরে বিকল হতে শুরু করে, আর যে ফাইল সিস্টেম ভরে গিয়ে সঙ্গে সঙ্গে সার্ভিসগুলোকেও টেনে নামায়। প্যানেল দুটোই কভার করে — পার্টিশনের ব্যবহার, SMART অ্যাট্রিবিউট ও তাপমাত্রা। বিকল হওয়ার আগাম ইঙ্গিত দেয় তিনটি অ্যাট্রিবিউট: রিঅ্যালোকেটেড সেক্টর, পেন্ডিং সেক্টর এবং অফলাইনে অসংশোধনযোগ্য সেক্টর। আলাদা করে দেখানো হয় inode — এগুলো ফাঁকা জায়গা শেষ হওয়ার আগেই ফুরিয়ে যায় এবং ব্যাখ্যা করে কেন ফাঁকা জায়গা থাকা সত্ত্বেও ডিস্কে রাইট করা যায় না।

ম্যান্ডেটরি অ্যাক্সেস কন্ট্রোল ঠিক করে দেয় একটি প্রোগ্রাম কী করতে পারবে, তা যে ব্যবহারকারী প্রোগ্রামটি চালু করেছেন তাঁর অধিকার নির্বিশেষে। AppArmor বেশিরভাগ Ubuntu ও Debian সার্ভারে থাকে, তবে অনেক ক্ষেত্রেই তা প্রায় কিছুই সীমাবদ্ধ করে না। প্যানেল দেখায় লোড হওয়া প্রোফাইল ও তাদের মোড, সীমাবদ্ধ প্রসেস এবং—আরও আগ্রহজনক অংশ—একেবারে প্রোফাইলহীন প্রসেস। complain মোডের প্রোফাইল শুধু নথিভুক্ত করে কী ব্লক করত; সীমাবদ্ধ করে কেবল enforce।