Schützen Sie Ihren Server. Alle Angriffe und Änderungen in einem Dashboard.

Fail2ban liest die Journale der Dienste und sperrt Adressen, die die Authentifizierung nicht bestehen. Das Dashboard zeigt alle Jails auf einem Bildschirm: wie viele Adressen aktuell gesperrt sind, wie viele seit dem Start des Dienstes und welches Jail sie erfasst hat. Ein Jail, das überhaupt nichts erfasst hat, ist genauso deutlich sichtbar wie ein funktionierendes – meist bedeutet das, dass es die falsche Journaldatei liest.

IPSUM – eine täglich aktualisierte Liste von Adressen, die bei Angriffen auf fremde Server aufgefallen sind. Ipset hält sie im Kernel-Speicher, daher belastet die Prüfung Hunderttausender Adressen die Firewall nicht. Das Dashboard zeigt die Listengröße und den Zeitpunkt der letzten Aktualisierung: Schutz schon vor dem ersten Versuch – die Adresse wird abgewiesen, bevor sie den Dienst erreicht.

Lynis führt Hunderte von Konfigurationsprüfungen durch und liefert einen Hardening-Index – eine Bewertung von 100. Das Dashboard wertet den Bericht aus und zeigt Warnungen und Empfehlungen zusammen mit der Test-ID an, sodass sich nachvollziehen lässt, was jede bedeutet. 100 von 100 ist kein Ziel: Ein Teil der Empfehlungen ist auf Szenarien ausgelegt, die es auf Ihrem Server nicht gibt.

ModSecurity mit dem OWASP-CRS-Regelsatz filtert HTTP-Anfragen innerhalb des Webservers — bereits nach der Entschlüsselung, dort, wo der Inhalt der Anfrage sichtbar ist. Das Dashboard liest das Audit-Journal: welche Anfrage blockiert wurde, welche Regel ausgelöst hat, wie hoch die Anomaliebewertung war und woher die Anfrage kam. Hierher schaut man vor allem wegen Fehlalarmen: dieselbe Regel, die immer wieder Ihr eigenes Formular abfängt.

Suricata analysiert den Netzwerkverkehr anhand von Signaturen und schreibt Funde in eve.json. Das Panel liest diese Datei direkt auf dem Server und zeigt die Benachrichtigungen der letzten 24 Stunden gruppiert nach Kategorien – ohne Elasticsearch und Kibana, die auf einem einzelnen VPS mehr wiegen als die überwachte Maschine. Eine frische Installation bleibt stumm, bis suricata-update mindestens einmal durchgelaufen ist: Regeln sind darin noch nicht enthalten.

CrowdSec analysiert Protokolle anhand von Szenarien und trifft Sperrentscheidungen auch auf Basis von Adressen, die andere Netzwerkteilnehmer gemeldet haben – ein Angreifer ist oft schon bekannt. Das Dashboard zeigt aktive Entscheidungen mit Szenario und Restzeit, daneben die registrierten Bouncer, die diese Entscheidungen durchsetzen. Ist die zweite Liste leer, benachrichtigt CrowdSec nur und blockiert nichts.

Falco überwacht Systemaufrufe und schlägt Alarm, wenn ein Prozess etwas tut, das ihn nichts angeht: eine Shell aus dem Webserver startet, in das Verzeichnis der Systembinärdateien schreibt oder eine unerwartete ausgehende Verbindung öffnet. Das Dashboard zeigt Benachrichtigungen mit Priorität, ausgelöster Regel und der Befehlszeile des Prozesses. Kubernetes ist dafür nicht nötig – auf einem normalen Server arbeitet Falco genauso.

Ein Antivirus unter Linux schützt nicht seine eigenen Binärdateien, sondern das, was von außen auf den Server gelangt: Web-Shells über das Upload-Formular, Anhänge über den Mailserver, Payloads in temporären Verzeichnissen. Das Dashboard zeigt den Zeitpunkt des letzten Scans, was er gefunden hat und – das wichtigste Feld – das Alter der Signaturdatenbank. ClamAV mit wochenalten Signaturen erzeugt nur den Anschein von Schutz und nichts darüber hinaus.

AIDE erstellt einen kryptografischen Abdruck des Dateisystems und meldet, was sich seit der letzten Prüfung geändert hat – und beantwortet damit die Frage, der andere Werkzeuge ausweichen: was sie berührt haben. Das Dashboard zeigt drei Listen: hinzugefügte, geänderte und gelöschte Dateien samt abweichender Attribute. Der häufigste Morgenbericht erklärt sich durch nächtliche Paket-Updates – prüfen Sie die Zeit und bauen Sie die Datenbank neu auf.

Der Audit-Daemon protokolliert genau die Ereignisse, um die er gebeten wurde: Änderungen an /etc/passwd und /etc/shadow, Bearbeitungen der sshd_config, den Start von Binärdateien zur Rechteausweitung. Das Dashboard zeigt die aktuell geladenen Regeln, die überwachten Pfade und die neuesten Ereignisse mit Prozess und Ergebnis. Die Regeln zu sehen ist ebenso wichtig wie die Ereignisse: Ein leerer Regelsatz ist der häufigste Grund, warum auditd zwar aktiv wirkt, aber nichts Wertvolles protokolliert.

UFW nimmt Ihnen die iptables-Syntax ab, hilft aber nicht, das Regelwerk Monate später zu durchschauen. Das Dashboard zeigt Regeln mit Aktion, Port, Protokoll und Quelle und stellt die Standardrichtlinien für ein- und ausgehenden Verkehr voran – genau die geraten meist in Vergessenheit. Ein streng wirkendes Regelwerk zählt nichts, wenn die Standardrichtlinie auf allow steht.

Wer Ports durchkämmt, hinterlässt keinen einzigen fehlgeschlagenen Anmeldeversuch – deshalb bleibt er für Fail2ban unsichtbar. PSAD schließt diese Lücke: Es liest die Firewall-Einträge über verworfenen Verkehr und bewertet die Funde. Das Dashboard zeigt markierte Adressen, eine Gefahrenstufe von 1 bis 5, die Anzahl der Pakete und die Ports. Ohne eine Protokollierungsregel in der Firewall bleibt PSAD stumm – genau das ist die häufigste Ursache für eine leere Seite nach der Installation.

Die automatische Verlängerung hat den Großteil des Problems gelöst und eine leisere Variante davon geschaffen: Zertifikate verlängern sich selbst – bis zu dem Tag, an dem sie es nicht mehr tun, und der Erste, der davon erfährt, ist der Besucher. Das Dashboard listet die Zertifikate auf, die der Server ausliefert: Aussteller, Ablaufdatum, verbleibende Tage. Weniger als dreißig Tage bei einem Zertifikat mit automatischer Verlängerung bedeuten, dass die Verlängerung schon eine Weile still versagt.

Die Karte zeigt Adressen, die Ihr eigener Server blockiert hat, aufgelöst bis auf Länderebene und nach Trefferzahl skaliert. Dies ist kein extern eingekaufter Bedrohungsdatenstrom: Jeder Punkt ist Traffic, der diese Maschine tatsächlich erreicht hat. Ihren Nutzen entfaltet die Karte über die Zeit: Eine Ballung aus einem einzelnen Netz bedeutet meist einen einzigen Akteur, der eine Liste abarbeitet, während eine gleichmäßige Streuung normales Internet-Rauschen ist.

Logwatch fasst die Protokolle eines Tages in einem einzigen Bericht zusammen und verschickt ihn per E-Mail – wo er nach ein paar Wochen in einem Ordner landet, in den niemand hineinsieht. Das Problem war nie die Information, sondern deren Zustellung. Das Dashboard hält die Berichte auf dem Server vor und zeigt sie seitenweise an, mit einem Archiv der vergangenen Tage: Ein Tag sagt Ihnen, was passiert ist – eine Woche, was sich verändert hat.

Monit überwacht Prozesse, Dateien, Dateisysteme und Hosts und startet neu, was es defekt vorfindet. Das Dashboard zeigt jede Prüfung mit aktuellem Status, überwachtem Objekt und der Anzahl der Eingriffe. Der Neustart-Zähler ist das ehrlichste Feld: Ein Dienst, der vierzigmal neu gestartet wurde, ist nicht gesund – er stürzt immer wieder ab, und die Neustarts verdecken das nur.

Anmeldung an der Dashboard mit Hardware-Schlüssel, Touch ID oder Face ID statt zweitem Passwort. Der Schlüssel bestätigt die Domain auf Protokollebene, deshalb funktioniert eine nachgebaute Anmeldeseite auf einer ähnlichen Adresse nicht – Phishing hat nichts abzufangen. Sie können mehrere Schlüssel anlegen, jeder mit eigenem Namen und Zeitpunkt der letzten Nutzung, und jeden einzeln widerrufen.

Was auf dieser Maschine von außen erreichbar ist, ist die nützlichste Sicherheitsfrage – und die ss-Ausgabe muss jedes Mal mühsam mit dem Auge durchgelesen werden. Das Dashboard zeigt lauschende Sockets mit Port, Protokoll, Bindungsadresse und Prozess, darunter die bestehenden Verbindungen. Zuerst sollten Sie die Bindungsadresse lesen: Ein Dienst auf 127.0.0.1 ist nur von der Maschine selbst erreichbar, derselbe Dienst auf 0.0.0.0 vom gesamten Internet.

Top beantwortet die Frage nach der aktuellen Sekunde – gefragt wird aber meist nach der letzten Nacht. Der Kollektor hängt alle fünf Minuten eine Zeile an die Datenbank an, und die Seite zeichnet daraus die letzten 24 Stunden: Load Average, CPU und I/O-Wait getrennt, Arbeitsspeicher und Swap, Netzwerk, Festplatte, TCP-Verbindungen, Dateideskriptoren. Die Diagramme sollten paarweise gelesen werden: Ein hoher I/O-Wait bei ruhiger CPU bedeutet, dass der Server auf die Festplatte wartet – zusätzliche Prozessorkerne bringen dann nichts.

Es gibt zwei Arten von Festplattenproblemen, und sie unterscheiden sich grundlegend: ein Datenträger, der zu versagen beginnt, und ein Dateisystem, das volläuft und Dienste mit in den Abgrund reißt. Das Dashboard deckt beide ab – Partitionsbelegung, SMART-Attribute und Temperatur. Ein Ausfall kündigt sich durch drei Attribute an: neu zugewiesene Sektoren, ausstehende und im Offline-Test nicht korrigierbare. Separat werden Inodes angezeigt – sie gehen früher zur Neige als der freie Speicher und erklären Schreibvorgänge, die trotz freiem Speicher auf der Platte scheitern.

Die zwingende Zugriffskontrolle entscheidet, was einem Programm erlaubt ist – unabhängig von den Rechten des Benutzers, der es gestartet hat. AppArmor läuft auf den meisten Ubuntu- und Debian-Servern und schränkt auf sehr vielen kaum etwas ein. Das Dashboard zeigt geladene Profile mit ihrem Modus, Prozesse unter Einschränkung und – die spannendere Hälfte – Prozesse ganz ohne Profil. Ein Profil im complain-Modus protokolliert nur, was es blockieren würde; einschränken tut allein enforce.