Beskyt din server. Alle angreb og ændringer i ét dashboard.

Fail2ban læser tjenesternes logfiler og banner adresser, der fejler i autentificering. Panelet viser alle jails på én skærm: hvor mange adresser der er blokeret nu, hvor mange siden tjenesten blev startet, og hvilken jail der fangede dem. En jail, der intet har fanget, ses lige så tydeligt som en aktiv — oftest betyder det, at den læser den forkerte logfil.

IPSUM — en dagligt opdateret liste over adresser, der er set angribe andres servere. Ipset holder den i kernehukommelsen, så kontrol af hundredtusindvis af adresser ikke belaster firewallen. Panelet viser listens størrelse og tidspunktet for seneste opdatering: det er beskyttelse før første forsøg — adressen afvises, før den når frem til tjenesten.

Lynis kører hundredvis af konfigurationskontroller og udsender et hardening index — en score ud af 100. Panelet analyserer rapporten og viser advarsler og anbefalinger sammen med test-id'et, så du kan se, hvad hver enkelt betyder. 100 ud af 100 er ikke målet: nogle anbefalinger er skrevet til scenarier, der ikke findes på din server.

ModSecurity med OWASP CRS-regelsættet filtrerer HTTP-forespørgsler inde i webserveren — efter dekryptering, dér hvor forespørgslens indhold er synligt. Dashboardet læser auditloggen: hvilken forespørgsel der blev blokeret, hvilken regel der udløstes, hvad anomaliscoren var, og hvor forespørgslen kom fra. Man kigger her først og fremmest efter falske positiver: den samme regel, der gang på gang fanger din egen formular.

Suricata analyserer netværkstrafik ud fra signaturer og skriver fund til eve.json. Panelet læser filen direkte på serveren og viser alarmer for det seneste døgn, grupperet efter kategori — uden Elasticsearch og Kibana, der på én VPS fylder mere end selve den overvågede maskine. En frisk installation er tavs, indtil suricata-update har kørt mindst én gang: den har endnu ingen regler.

CrowdSec analyserer logfiler efter scenarier og træffer beslutninger om blokering – også med udgangspunkt i adresser, som andre deltagere i netværket har indberettet, så en angriber ofte allerede er kendt. Panelet viser aktive beslutninger med scenarie og resterende tid, og ved siden af de registrerede bouncers, som udfører dem. Er den anden liste tom, giver CrowdSec kun besked og blokerer ikke noget.

Falco overvåger systemkald og udløser en alarm, når en proces gør noget, den ikke burde: starter en shell fra webserveren, skriver til kataloget med systembinære filer eller åbner en uventet udgående forbindelse. Dashboardet viser alarmer med prioritet, den udløste regel og processens kommandolinje. Kubernetes er ikke nødvendigt — på en almindelig server fungerer Falco lige så godt.

Antivirus på Linux beskytter ikke sine egne binære filer, men det der havner på serveren udefra: webshells via uploadformularer, vedhæftede filer via mailserveren, payloads i midlertidige mapper. Panelet viser tidspunktet for seneste kontrol, hvad den fandt og — det vigtigste felt — signaturdatabasens alder. ClamAV med en uge gamle signaturer giver et skin af beskyttelse og intet derudover.

AIDE tager et kryptografisk fingeraftryk af filsystemet og rapporterer, hvad der har ændret sig siden sidste kontrol — svaret på det spørgsmål, andre værktøjer viger uden om: hvad de rørte ved. Panelet viser tre lister: tilføjede, ændrede og slettede filer sammen med afvigende attributter. Den hyppigste morgenrapport skyldes natlige pakkeopdateringer — tjek tidspunktet, og genopbyg databasen.

Audit-dæmonen registrerer præcis de hændelser, den er blevet bedt om: ændringer i /etc/passwd og /etc/shadow, rettelser i sshd_config, kørsel af binære filer til rettighedseskalering. Panelet viser de regler, der er indlæst lige nu, de overvågede stier og de seneste hændelser med proces og udfald. At se reglerne er lige så vigtigt som at se hændelserne: et tomt regelsæt er den hyppigste årsag til, at auditd ser ud til at køre uden at skrive noget værdifuldt.

UFW fjerner iptables-syntaksen, men hjælper ikke med at gennemskue et regelsæt måneder senere. Panelet viser regler med handling, port, protokol og kilde, og fremhæver standardpolitikkerne for indgående og udgående trafik — netop dem, man plejer at glemme. Et regelsæt, der ser stramt ud, betyder intet, hvis standardpolitikken stadig står på allow.

Den, der scanner porte, efterlader ingen mislykkede loginforsøg, så Fail2ban opdager ham ikke. PSAD lukker dette hul: den læser firewallens logposter om afvist trafik og vurderer fundene. Panelet viser markerede adresser, fareniveau fra 1 til 5, antal pakker og porte. Uden en logningsregel i firewallen forbliver PSAD tavs — og det er den normale årsag til en tom side efter installationen.

Automatisk fornyelse løste det meste af problemet og skabte en mere stille udgave af det: certifikaterne fornyer sig selv — indtil den dag, hvor de holder op, og den første, der opdager det, er en besøgende. Panelet viser de certifikater, serveren leverer: udsteder, udløbsdato, antal dage tilbage. Under tredive dage på et certifikat med automatisk fornyelse betyder, at fornyelsen i et stykke tid stille og roligt er holdt op med at virke.

Kortet viser de adresser, som din egen server har blokeret, opslået til lande og skaleret efter antal træffere. Det er ikke et tredjeparts trusselsdatafeed: hvert punkt er trafik, der faktisk nåede denne maskine. Kortet bliver først nyttigt over tid: en fortætning fra ét netværk betyder som regel én aktør, der arbejder sig gennem en liste, mens en jævn spredning blot er almindelig internetstøj.

Logwatch samler et døgns logfiler i én rapport og sender den på mail — hvor den efter et par uger havner i en mappe, ingen kigger i. Problemet var aldrig informationen, men leveringen. Dashboardet gemmer rapporterne på serveren og viser dem side for side, med et arkiv over tidligere dage: én dag fortæller, hvad der skete, en uge fortæller, hvad der har ændret sig.

Monit overvåger processer, filer, filsystemer og noder og genstarter det, den finder brudt. Panelet viser hver kontrol med aktuel tilstand, det overvågede objekt og antal indgreb. Genstartstælleren er det mest ærlige felt: en tjeneste, der er genstartet fyrre gange, er ikke sund — den falder gang på gang, og genstarterne skjuler det.

Log ind i panelet med en hardwarenøgle, Touch ID eller Face ID i stedet for et andet kodeord. Nøglen bekræfter domænet på protokolniveau, så en kopi af login-siden på en lignende adresse ikke virker — phishing har intet at opsnappe. Du kan oprette flere nøgler, hver med sit eget navn og tidspunkt for seneste brug, og tilbagekalde hver enkelt for sig.

Hvad der kan nås udefra på denne maskine, er det mest nyttige sikkerhedsspørgsmål, og ss-outputtet må læses igennem med øjnene hver gang. Panelet viser lyttende sockets med port, protokol, bindingsadresse og proces, og nedenfor de etablerede forbindelser. Læs bindingsadressen først: en tjeneste på 127.0.0.1 er kun tilgængelig fra selve maskinen, mens den samme tjeneste på 0.0.0.0 er åben for hele internettet.

Top svarer på spørgsmålet om det aktuelle sekund, men man spørger som regel om sidste nat. Collectoren tilføjer hvert femte minut en linje til databasen, og siden tegner det seneste døgn ud fra den: load average, CPU og I/O wait hver for sig, hukommelse og swap, netværk, disk, TCP-forbindelser, fildeskriptorer. Graferne bør læses parvis: høj I/O wait ved rolig CPU betyder, at serveren venter på disken, og det nytter ikke at tilføje flere processorkerner.

Diskproblemer findes i to udgaver, og de ligner ikke hinanden: et drev, der begynder at svigte, og et filsystem, der fyldes op og trækker tjenesterne med sig. Panelet dækker begge — partitionernes belægning, SMART-attributter og temperatur. Et svigt varsles af tre attributter: omfordelte sektorer, ventende og ukorrigerbare offline. Inodes vises separat — de slipper op før den frie plads og forklarer skrivninger, der mislykkes på en disk med ledig plads.

Obligatorisk adgangskontrol afgør, hvad et program må, uafhængigt af rettighederne for den bruger, der startede det. AppArmor findes på de fleste Ubuntu- og Debian-servere, og på rigtig mange begrænser det næsten intet. Panelet viser indlæste profiler med tilstand, processer under begrænsning og – den mere interessante halvdel – processer helt uden profil. En profil i tilstanden complain registrerer kun, hvad den ville have blokeret; kun enforce begrænser.