Hvězdička v sudoers téměř vždy znamená root
Proč hvězdička v pravidle sudo sahá dál, než se zdá, jak literál uprostřed příkazu přestane cokoli omezovat a čím se taková pravidla nahrazují. Rozebráno na skutečném vektoru přes fail2ban.
ČístČlánky o bezpečnosti serverů
Bližší pohled na nástroje, které už na vašem serveru běží: co ukazují, jak číst jejich výstup a kde se obvykle chybuje.
Přihlášení a přístup
4CrowdSec a Fail2ban: čím se liší a zda mít oba
Lokální čítač proti sdílené reputaci, proč se po instalaci CrowdSecu nic neblokuje a co přitom opouští váš server.
ČístFail2ban: které jaily jsou skutečně potřeba
Výchozí nastavení chrání jen SSH. Které jaily stojí za přidání, proč je bantime deset minut zbytečný a jak se nezamknout venku.
ČístVypnout hesla v SSH a nepřijít o přístup
Klíče místo hesel za deset minut: jak se prověřit před vypnutím, proč soubor 90-hardening.conf prohrává s cloudovým a co dělat s ssh.socket v Ubuntu 24.04.
ČístSíť a firewall
6Skvrna na mapě útoků: co s ní udělat na vlastním serveru
Hotová pravidla místo blokování země: jail na skenery hledající cizí administrace, omezení tempa, ochrana před zablokováním sebe sama a správně vymezené zablokování podsítě. S příkazy pro ověření a s tím, co se nesmí odříznout, abyste nepřišli o platby a o indexaci.
ČístSuricata na jednom VPS: bez ELK a bez Kibany
Proč výchozí konfigurace Suricaty sežere disk za dva dny, co ponechat v eve.json a jak číst výstrahy bez sady tří služeb.
ČístFalešné poplachy ModSecurity: co dát na whitelist jako první
Proč CRS blokuje vaše vlastní formuláře, jak najít viníka v logu a tři způsoby, jak udělat výjimku, aniž byste vypnuli ochranu.
ČístPSAD: jak zjistit, že server někdo skenuje
Skenování portů nezanechává stopy v logách aplikací, takže je Fail2ban nevidí. Jak nastavit PSAD a proč bez logování v UFW neukáže nic.
ČístKteré porty nemají trčet ven
Jak číst výstup ss, čím se liší 0.0.0.0 od 127.0.0.1 a proč Redis bez hesla na veřejné adrese znamená průnik během hodiny.
ČístUFW: pravidla, která nic nezavírají
Pořadí pravidel, IPv6 mimo filtr, Docker publikující porty mimo UFW a proč status active ještě neznamená, že je port zavřený.
ČístZpevnění systému
4Dvanáct kontrol serveru, které stojí za to dělat jednou týdně
Server se posouvá sám: balíčky se hromadí, certifikát se blíží datu vypršení, jail tiše přestane hlídat SSH. Tady je, co stojí za to sledovat pravidelně, i s příkazy — a kam ten seznam vede, jakmile začne být obtížné procházet ho ručně.
ČístAppArmor: enforce, complain a co znamená unconfined
Profily omezují program na to, co mu přísluší, a mění napadený web v drobnou nepříjemnost. Co je zapnuto ve výchozím stavu a jak přidat profil, aniž byste rozbili službu.
ČístHardening index nástroje Lynis: z 60 na 85
Jak číst zprávu Lynisu, která doporučení přinášejí skutečný užitek, která se VPS netýkají a proč 100 ze 100 neexistuje.
ČístAutomatické bezpečnostní aktualizace bez překvapení
Jak nastavit unattended-upgrades, aby se záplaty instalovaly samy a v noci nic nespadlo, a proč nelze ignorovat příznak reboot-required.
ČístZnámky průniku
7Sedm příznaků toho, že váš VPS je napadený
Na co se podívat nejdřív, když něco nehraje: procesy, síťová spojení, cron, klíče a logy. Příkazy, které lze spustit hned.
ČístKde se vetřelec zakotví: cron, časovače, klíče
Osm míst, odkud se škodlivý kód spouští znovu po restartu i po smazání, a příkazy, jimiž se celý seznam projde za pět minut.
ČístFalco na běžném VPS, bez Kubernetes
Falco umí sledovat chování procesů na jednoduchém serveru: shell spuštěný z PHP, čtení cizích klíčů, těžař z /tmp. Co bude třeba vypnout, abyste se neutopili v šumu.
Čístauditd: jaká pravidla nastavit, aby pak bylo co číst
Ve výchozím stavu auditd nezaznamenává téměř nic užitečného. Sada pravidel, která odpovídá na otázky po incidentu, a jak číst výstup bez znalosti ausearch nazpaměť.
Čístdebsums: kontrola, že systémové soubory nebyly vyměněny
Hotový vzor integrity je už v každém balíčku Debianu a Ubuntu. Jak jej použít, proč je část nálezů oprávněná a proč je pokrytí neúplné.
ČístAIDE: jak si všimnout, že soubor byl vyměněn
Kontrola integrity nastavená tak, aby se zpráva skutečně četla: co vyloučit, kde držet databázi a proč se aide --update nespouští naslepo.
ČístAntivirus na serveru s Linuxem: co skutečně zachytí
Proč ClamAV na serveru bez Windows, proč nechrání před průnikem, kolik paměti si žádá clamd a jak skenovat nahrané soubory místo celého disku.
ČístStav serveru
6Zátěž serveru: load average, I/O wait a swap
Proč může být load average 8 zdravý a 2 havarijní, čím se liší vytížený procesor od disku, na který systém čeká, a co znamená swap, který jednou vystoupá a už se nevrátí na nulu.
ČístWeb se vleče: na co se dívat v MySQL a PostgreSQL
Pořadí kontroly databáze, když se vše zpomalilo: spojení, pomalé dotazy, velikost bufferu. Plus dvě věci, které nenápadně žerou disk.
ČístCertifikát vypršel: proč se automatická obnova rozbíjí
Pět důvodů, proč certbot tiše přestane obnovovat certifikát, a proč je třeba kontrolovat to, co server skutečně vydává, ne soubor na disku.
ČístDisk je plný, ale místo je: i-uzly, logy a SMART
Proč df ukazuje volné gigabajty při chybě „není místo“, kam se dějí smazané, ale neuvolněné soubory, a které atributy SMART skutečně předpovídají poruchu.
ČístMonit: restart spadlé služby a meze tohoto přístupu
Čím se kontroly Monitu liší od Restart=always v systemd, jak nezpůsobit nekonečnou smyčku restartů a proč se webové rozhraní na portu 2812 nesmí otevírat ven.
ČístLogwatch: denní zpráva, kterou se přestane číst
Jak nastavit úroveň podrobnosti, aby se dopis vešel na obrazovku, které sekce číst jako první a proč je na Debianu 12 sekce o SSH prázdná.
ČístNic nenalezeno