Ochraňte svůj server. Všechny útoky a změny v jednom panelu.

Fail2ban čte protokoly služeb a banuje adresy, které neprojdou ověřením. Panel zobrazuje všechny jaily na jedné obrazovce: kolik adresů je nyní zablokováno, kolik od spuštění služby a který jail je zachytil. Jail, který nezachytil vůbec nic, je vidět stejně jasně jako ten fungující — nejčastěji to znamená, že čte nesprávný soubor protokolu.

IPSUM – seznam adres denně aktualizovaný o adresy zachycené při útocích na cizí servery. Ipset jej drží v paměti jádra, takže kontrola stovek tisíc adres bránu firewall nezatěžuje. Panel zobrazuje velikost seznamu a čas poslední aktualizace: je to ochrana ještě před prvním pokusem — adresa je odříznuta dřív, než dorazí ke službě.

Lynis provede stovky kontrol konfigurace a vypíše hardening index — hodnocení ze 100. Panel zpracuje report a zobrazí varování a doporučení spolu s identifikátorem testu, abyste mohli zjistit, co která znamená. 100 ze 100 není cílem: část doporučení míří na scénáře, které na vašem serveru nemáte.

ModSecurity se sadou pravidel OWASP CRS filtruje HTTP požadavky uvnitř webového serveru — už po dešifrování, tam, kde je vidět obsah požadavku. Panel čte auditní protokol: který požadavek byl zablokován, které pravidlo se aktivovalo, jaké bylo skóre anomálie a odkud požadavek přišel. Sem se dívejte především kvůli falešným poplachům: totéž pravidlo, které znovu a znovu chytá váš vlastní formulář.

Suricata analyzuje síťový provoz podle signatur a nálezy zapisuje do eve.json. Panel čte tento soubor přímo na serveru a zobrazuje upozornění za posledních 24 hodin seskupená podle kategorií — bez Elasticsearch a Kibana, které na jednom VPS zaberou víc než sledovaný stroj. Čerstvá instalace mlčí, dokud alespoň jednou neproběhne suricata-update: pravidla v ní zatím nejsou.

CrowdSec analyzuje protokoly podle scénářů a rozhoduje o blokování i na základě adres, které nahlásili ostatní účastníci sítě — útočník často přichází již jako známý. Panel zobrazuje platná rozhodnutí se scénářem a zbývajícím časem a vedle nich zaregistrované bouncery, které tato rozhodnutí vykonávají. Pokud je druhý seznam prázdný, CrowdSec pouze upozorňuje a nic neblokuje.

Falco sleduje systémová volání a vyvolá upozornění, když proces dělá něco, co mu nepřísluší: spustí shell z webového serveru, zapisuje do adresáře systémových binárek, otevře neočekávané odchozí spojení. Panel zobrazuje upozornění s prioritou, pravidlem, které se spustilo, a příkazovou řádkou procesu. Kubernetes k tomu nepotřebujete — na běžném serveru funguje Falco stejně.

Antivirus na Linuxu nechrání vlastní binárky, ale to, co se na server dostane zvenčí: webové shelly přes formulář pro nahrávání, přílohy přes poštovní server, škodlivé nálože v dočasných adresářích. Panel zobrazuje čas poslední kontroly, co našla a — nejdůležitější pole — stáří databáze signatur. ClamAV s týden starými signaturami vytváří jen zdání ochrany a nic víc.

AIDE pořizuje kryptografický otisk souborového systému a hlásí, co se od minulé kontroly změnilo — odpovídá na otázku, které se ostatní nástroje vyhýbají: čeho se dotkly. Panel zobrazuje tři seznamy: přidané, změněné a odstraněné soubory spolu s odlišnostmi v atributech. Nejčastější ranní hlášení má na svědomí noční aktualizace balíčků — porovnejte čas a databázi znovu sestavte.

Démon auditu zaznamenává přesně ty události, o které jste ho požádali: změny souborů /etc/passwd a /etc/shadow, úpravy sshd_config, spuštění binárek pro eskalaci oprávnění. Panel zobrazuje právě teď načtená pravidla, sledované cesty a nejnovější události s procesem a výsledkem. Vidět pravidla je stejně důležité jako vidět události: prázdná sada je nejčastější příčinou, proč auditd vypadá funkčně, ale nezaznamenává nic užitečného.

UFW vás zbaví syntaxe iptables, ale nepomůže vám vyznat se v sadě pravidel o měsíce později. Panel zobrazuje pravidla s akcí, portem, protokolem a zdrojem a do popředí staví výchozí politiky pro příchozí a odchozí provoz — právě na ně se obvykle zapomíná. Přísně vyhlížející sada pravidel neznamená nic, pokud výchozí politika zůstala nastavená na allow.

Ten, kdo prohledává porty, nezanechá jediný neúspěšný pokus o přihlášení, takže ho Fail2ban nevidí. PSAD tuto mezeru zaplní: čte záznamy firewallu o zahozeném provozu a vyhodnocuje, co našel. Panel zobrazuje označené adresy, úroveň nebezpečí od 1 do 5, počet paketů a porty. Bez pravidla pro protokolování ve firewallu PSAD mlčí — a to je běžná příčina prázdné stránky po instalaci.

Automatické obnovení vyřešilo většinu problému a vytvořilo jeho tišší variantu: certifikáty se obnovují samy — až do dne, kdy přestanou, a jako první se to dozví návštěvník. Panel vypisuje certifikáty, které server vydává: vydavatele, datum vypršení, zbývající dny. Méně než třicet dní u certifikátu s automatickým obnovením znamená, že obnovení už nějakou dobu tiše selhává.

Mapa zobrazuje adresy, které zablokoval váš vlastní server, převedené na úroveň zemí a naškálované podle počtu zásahů. Nejde o koupený proud dat o hrozbách: každý bod je provoz, který dorazil k tomuto stroji. Užitečnou se mapa stává v čase: shluk z jedné sítě obvykle znamená jednoho útočníka procházejícího seznam, zatímco rovnoměrné rozptýlení je běžný internetový šum.

Logwatch shrne protokoly za celý den do jediné zprávy a odešle ji e-mailem — kde po pár týdnech skončí ve složce, do které nikdo nenahlíží. Problémem nikdy nebyly informace, ale jejich doručení. Panel drží zprávy na serveru a zobrazuje je po stránkách, s archivem předchozích dní: jeden den řekne, co se stalo, a týden ukáže, co se změnilo.

Monit sleduje procesy, soubory, souborové systémy a uzly a restartuje to, co najde v poškozeném stavu. Panel zobrazuje každou kontrolu s aktuálním stavem, sledovaným objektem a počtem zásahů. Počítadlo restartů je nejpoctivější pole: služba restartovaná čtyřicetkrát není zdravá — padá znovu a znovu a restarty to jen zakrývají.

Přihlášení do panelu hardwarovým klíčem, přes Touch ID nebo Face ID místo druhého hesla. Klíč ověřuje doménu na úrovni protokolu, takže kopie přihlašovací stránky na podobné adrese nezabere — phishing nemá co zachytit. Klíčů můžete zaregistrovat několik, každý s vlastním názvem a časem posledního použití, a kterýkoli z nich lze samostatně odvolat.

Co je na tomto stroji dostupné zvenčí — to je nejužitečnější bezpečnostní otázka a výstup ss musíte pokaždé znovu procházet očima. Panel zobrazuje naslouchající sokety s portem, protokolem, adresou vazby a procesem a níže navázaná spojení. Číst byste měli nejdřív adresu vazby: služba na 127.0.0.1 je dostupná jen z tohoto stroje, tatáž služba na 0.0.0.0 celému internetu.

Top odpovídá na otázku o aktuální sekundě, jenže obvykle se ptáte na to, co bylo v noci. Kolektor každých pět minut připíše do databáze řádek a stránka z něj vykreslí posledních 24 hodin: load average, CPU a I/O wait zvlášť, paměť a swap, síť, disk, TCP spojení, souborové deskriptory. Grafy je vhodné číst v párech: vysoký I/O wait při klidném CPU znamená, že server čeká na disk a přidávat procesorová jádra nemá smysl.

Diskové potíže jsou dvojí a navzájem se liší: úložiště, které začíná selhávat, a souborový systém, který se zaplňuje a stahuje s sebou služby. Panel pokrývá obě – zaplnění oddílů, atributy SMART a teplotu. Selhání předpovídají tři atributy: přemapované sektory, čekající a neopravitelné v offline režimu. Samostatně se zobrazují inody – docházejí dříve než volné místo a vysvětlují zápisy, které na disku s volným místem neprojdou.

Povinné řízení přístupu určuje, co je programu dovoleno, nezávisle na právech uživatele, který jej spustil. AppArmor je na většině serverů Ubuntu a Debian a na velmi mnoha z nich téměř nic neomezuje. Panel zobrazuje načtené profily s režimem, procesy pod omezením a — zajímavější polovina — procesy zcela bez profilu. Profil v režimu complain jen zaznamenává, co by zablokoval; omezuje pouze enforce.