Προστατέψτε τον διακομιστή σας. Όλες οι επιθέσεις και οι αλλαγές σε έναν πίνακα.

Το Fail2ban διαβάζει τα αρχεία καταγραφής των υπηρεσιών και αποκλείει διευθύνσεις που αποτυγχάνουν στην ταυτοποίηση. Ο πίνακας εμφανίζει όλα τα jail σε μία οθόνη: πόσες διευθύνσεις είναι αποκλεισμένες αυτή τη στιγμή, πόσες από την εκκίνηση της υπηρεσίας και ποιο jail τις εντόπισε. Ένα jail που δεν εντόπισε τίποτα φαίνεται εξίσου καθαρά με ένα που λειτουργεί — τις περισσότερες φορές αυτό σημαίνει ότι διαβάζει λάθος αρχείο καταγραφής.

IPSUM — μια καθημερινά ενημερωμένη λίστα διευθύνσεων που έχουν εντοπιστεί σε επιθέσεις κατά άλλων διακομιστών. Το Ipset τη διατηρεί στη μνήμη του πυρήνα, γι' αυτό ο έλεγχος εκατοντάδων χιλιάδων διευθύνσεων δεν επιβαρύνει το τείχος προστασίας. Ο πίνακας δείχνει το μέγεθος της λίστας και την ώρα της τελευταίας ενημέρωσης: πρόκειται για προστασία πριν από την πρώτη κιόλας απόπειρα — η διεύθυνση αποκόπτεται προτού φτάσει στην υπηρεσία.

Το Lynis εκτελεί εκατοντάδες ελέγχους διαμόρφωσης και εμφανίζει το hardening index — μια βαθμολογία στα 100. Ο πίνακας αναλύει την αναφορά και εμφανίζει προειδοποιήσεις και συστάσεις μαζί με το αναγνωριστικό του κάθε ελέγχου, ώστε να μπορείτε να δείτε τι σημαίνει η καθεμία. Το 100 στα 100 δεν είναι ο στόχος: μέρος των συστάσεων αφορά σενάρια που δεν υπάρχουν στον διακομιστή σας.

Το ModSecurity με το σύνολο κανόνων OWASP CRS φιλτράρει τα αιτήματα HTTP μέσα στον διακομιστή web — ήδη μετά την αποκρυπτογράφηση, εκεί όπου φαίνεται το περιεχόμενο του αιτήματος. Το μόνιτορ διαβάζει το αρχείο καταγραφής ελέγχου: ποιο αίτημα μπλοκαρίστηκε, ποιος κανόνας ενεργοποιήθηκε, ποια ήταν η βαθμολογία ανωμαλίας και από πού ήρθε το αίτημα. Εδώ κοιτάζουν κυρίως για τα ψευδώς θετικά: ο ίδιος κανόνας που πιάνει ξανά και ξανά τη δική σας φόρμα.

Το Suricata αναλύει τη δικτυακή κίνηση βάσει υπογραφών και καταγράφει τα ευρήματα στο eve.json. Το μόνιτορ διαβάζει αυτό το αρχείο απευθείας στον διακομιστή και εμφανίζει τις ειδοποιήσεις του τελευταίου 24ώρου, ομαδοποιημένες ανά κατηγορία — χωρίς Elasticsearch και Kibana, που σε ένα μόνο VPS καταναλώνουν περισσότερα από την ίδια την παρακολουθούμενη μηχανή. Μια νέα εγκατάσταση παραμένει σιωπηλή έως ότου εκτελεστεί τουλάχιστον μία φορά το suricata-update: δεν υπάρχουν ακόμη κανόνες σε αυτήν.

Το CrowdSec αναλύει τα αρχεία καταγραφής βάσει σεναρίων και λαμβάνει αποφάσεις αποκλεισμού, στηριζόμενο και σε διευθύνσεις που ανέφεραν άλλοι συμμετέχοντες του δικτύου — ο επιτιθέμενος συχνά έρχεται ήδη γνωστός. Ο πίνακας εμφανίζει τις ενεργές αποφάσεις με το σενάριο και τον υπολειπόμενο χρόνο, και δίπλα τους καταχωρημένους bouncers που εκτελούν αυτές τις αποφάσεις. Αν η δεύτερη λίστα είναι κενή, το CrowdSec απλώς ειδοποιεί χωρίς να αποκλείει τίποτα.

Το Falco παρακολουθεί τις κλήσεις συστήματος και ενεργοποιεί ειδοποίηση όταν μια διεργασία κάνει κάτι που δεν την αφορά: εκκινεί κέλυφος από τον web server, γράφει στον κατάλογο των εκτελέσιμων συστήματος, ανοίγει μια αναπάντεχη εξερχόμενη σύνδεση. Ο πίνακας εμφανίζει τις ειδοποιήσεις με την προτεραιότητα, τον κανόνα που ενεργοποιήθηκε και τη γραμμή εντολών της διεργασίας. Δεν χρειάζεται Kubernetes για αυτό — σε έναν κοινό διακομιστή το Falco λειτουργεί το ίδιο.

Το antivirus σε Linux δεν προστατεύει τα δικά του εκτελέσιμα, αλλά ό,τι φτάνει στον διακομιστή από έξω: web shells μέσω φόρμας μεταφόρτωσης, συνημμένα μέσω του διακομιστή αλληλογραφίας, ωφέλιμα φορτία σε προσωρινούς καταλόγους. Το μόνιτορ εμφανίζει τον χρόνο της τελευταίας σάρωσης, τι εντόπισε και —το σημαντικότερο πεδίο— την ηλικία της βάσης υπογραφών. Το ClamAV με υπογραφές μιας εβδομάδας δημιουργεί μια ψευδαίσθηση προστασίας και τίποτα παραπάνω.

Το AIDE δημιουργεί ένα κρυπτογραφικό αποτύπωμα του συστήματος αρχείων και αναφέρει τι άλλαξε από τον προηγούμενο έλεγχο — απαντά στο ερώτημα που αποφεύγουν τα υπόλοιπα εργαλεία: τι ακριβώς τροποποίησαν. Το μόνιτορ εμφανίζει τρεις λίστες: προστεθέντα, τροποποιημένα και διαγραμμένα αρχεία μαζί με τα αποκλίνοντα χαρακτηριστικά τους. Η πιο συχνή πρωινή αναφορά οφείλεται σε νυχτερινές ενημερώσεις πακέτων — ελέγξτε τον χρόνο και ανακατασκευάστε τη βάση.

Ο δαίμονας ελέγχου καταγράφει ακριβώς τα συμβάντα που του ζητήθηκαν: αλλαγές στα /etc/passwd και /etc/shadow, τροποποιήσεις στο sshd_config, εκτέλεση εκτελέσιμων ανύψωσης προνομίων. Το μόνιτορ εμφανίζει τους κανόνες που είναι φορτωμένοι αυτή τη στιγμή, τις παρακολουθούμενες διαδρομές και τα πρόσφατα συμβάντα με διεργασία και αποτέλεσμα. Η προβολή των κανόνων δεν είναι λιγότερο σημαντική από τα συμβάντα: το κενό σύνολο είναι ο συχνότερος λόγος για τον οποίο το auditd φαίνεται να εκτελείται χωρίς να καταγράφει τίποτα χρήσιμο.

Το UFW σας απαλλάσσει από τη σύνταξη του iptables, αλλά δεν βοηθά να αποκρυπτογραφήσετε το σύνολο κανόνων μήνες αργότερα. Ο πίνακας εμφανίζει τους κανόνες με ενέργεια, θύρα, πρωτόκολλο και πηγή, ενώ προβάλλει πρώτα τις προεπιλεγμένες πολιτικές για εισερχόμενη και εξερχόμενη κίνηση — αυτές ακριβώς ξεχνούν συνήθως. Ένα φαινομενικά αυστηρό σύνολο κανόνων δεν σημαίνει τίποτα αν η προεπιλεγμένη πολιτική έμεινε σε allow.

Όποιος σαρώνει θύρες δεν αφήνει καμία αποτυχημένη προσπάθεια σύνδεσης, γι' αυτό και το Fail2ban δεν τον εντοπίζει. Το PSAD καλύπτει αυτό το κενό: διαβάζει τις εγγραφές του τείχους προστασίας για την απορριφθείσα κίνηση και αξιολογεί τα ευρήματα. Ο πίνακας εμφανίζει τις επισημασμένες διευθύνσεις, το επίπεδο κινδύνου από 1 έως 5, τον αριθμό πακέτων και τις θύρες. Χωρίς κανόνα καταγραφής στο τείχος προστασίας, το PSAD μένει σιωπηλό — αυτή είναι και η συνήθης αιτία για μια κενή σελίδα μετά την εγκατάσταση.

Η αυτόματη ανανέωση έλυσε το μεγαλύτερο μέρος του προβλήματος και δημιούργησε μια πιο σιωπηλή εκδοχή του: τα πιστοποιητικά ανανεώνονται μόνα τους — μέχρι την ημέρα που σταματούν, και ο πρώτος που το μαθαίνει είναι ο επισκέπτης. Ο πίνακας απαριθμεί τα πιστοποιητικά που παρέχει ο διακομιστής: εκδότη, ημερομηνία λήξης, υπόλοιπες ημέρες. Λιγότερες από τριάντα ημέρες σε ένα πιστοποιητικό με αυτόματη ανανέωση σημαίνει ότι η ανανέωση εδώ και κάποιο διάστημα αποτυγχάνει σιωπηλά.

Ο χάρτης απεικονίζει τις διευθύνσεις που απέκλεισε ο δικός σας διακομιστής, αναλυμένες σε επίπεδο χώρας και κλιμακωμένες βάσει του αριθμού των χτυπημάτων. Δεν πρόκειται για αγορασμένη ροή δεδομένων απειλών: κάθε σημείο είναι κίνηση που έφτασε πραγματικά σε αυτό το μηχάνημα. Η αξία του χάρτη φαίνεται με τον χρόνο: μια συγκέντρωση από ένα δίκτυο συνήθως σημαίνει έναν μόνο δράστη που ακολουθεί μια λίστα, ενώ μια ομοιόμορφη διασπορά είναι απλός θόρυβος του διαδικτύου.

Το Logwatch συγκεντρώνει τα αρχεία καταγραφής ενός εικοσιτετραώρου σε μία αναφορά και τη στέλνει με email — όπου, μετά από λίγες εβδομάδες, καταλήγει σε έναν φάκελο που κανείς δεν ανοίγει. Το πρόβλημα δεν ήταν ποτέ η πληροφορία, αλλά η παράδοσή της. Ο πίνακας κρατά τις αναφορές στον διακομιστή και τις εμφανίζει σε σελίδες, με αρχείο των προηγούμενων ημερών: μία ημέρα λέει τι συνέβη, μια εβδομάδα τι άλλαξε.

Το Monit παρακολουθεί διεργασίες, αρχεία, συστήματα αρχείων και κόμβους και επανεκκινεί ό,τι εντοπίσει χαλασμένο. Το μόνιτορ εμφανίζει κάθε έλεγχο με την τρέχουσα κατάσταση, το αντικείμενο παρακολούθησης και τον αριθμό των παρεμβάσεων. Ο μετρητής επανεκκινήσεων είναι το πιο ειλικρινές πεδίο: μια υπηρεσία που επανεκκινήθηκε σαράντα φορές δεν είναι υγιής — καταρρέει ξανά και ξανά, και οι επανεκκινήσεις το συγκαλύπτουν.

Είσοδος στον πίνακα με κλειδί υλικού, Touch ID ή Face ID αντί για δεύτερο κωδικό. Το κλειδί επιβεβαιώνει τον τομέα σε επίπεδο πρωτοκόλλου, γι' αυτό ένα αντίγραφο της σελίδας εισόδου σε παρόμοια διεύθυνση δεν λειτουργεί — το phishing δεν έχει τι να υποκλέψει. Μπορείτε να δημιουργήσετε πολλά κλειδιά, καθένα με το δικό του όνομα και χρόνο τελευταίας χρήσης, και να ανακαλέσετε οποιοδήποτε ξεχωριστά.

Το πιο χρήσιμο ερώτημα ασφαλείας είναι τι σε αυτό το μηχάνημα είναι προσβάσιμο από έξω, και την έξοδο του ss πρέπει να την ξαναδιαβάζετε με το μάτι κάθε φορά. Ο πίνακας εμφανίζει τα υποδοχεία που ακούν με θύρα, πρωτόκολλο, διεύθυνση σύνδεσης και διεργασία, και από κάτω τις εγκατεστημένες συνδέσεις. Πρώτα αξίζει να διαβάζετε τη διεύθυνση σύνδεσης: μια υπηρεσία στο 127.0.0.1 είναι προσβάσιμη μόνο από το ίδιο το μηχάνημα, ενώ η ίδια υπηρεσία στο 0.0.0.0 είναι προσβάσιμη σε όλο το διαδίκτυο.

Το top απαντά σε ερώτηση για το τρέχον δευτερόλεπτο, ενώ συνήθως ρωτάτε για την περασμένη νύχτα. Ο συλλέκτης κάθε πέντε λεπτά προσθέτει μια γραμμή στη βάση, και η σελίδα σχεδιάζει από αυτήν το τελευταίο 24ωρο: load average, CPU και I/O wait ξεχωριστά, μνήμη και swap, δίκτυο, δίσκο, συνδέσεις TCP, περιγραφείς αρχείων. Τα γραφήματα διαβάζονται σε ζεύγη: υψηλό I/O wait με ήρεμη CPU σημαίνει ότι ο διακομιστής περιμένει τον δίσκο, και δεν έχει νόημα να προσθέσετε πυρήνες επεξεργαστή.

Οι δίσκοι κρύβουν δύο διαφορετικά προβλήματα: τον αποθηκευτικό χώρο που αρχίζει να παρουσιάζει βλάβες και το σύστημα αρχείων που γεμίζει και παρασύρει μαζί του τις υπηρεσίες. Η πάνελ καλύπτει και τα δύο — τη χρήση των κατατμήσεων, τα χαρακτηριστικά SMART και τη θερμοκρασία. Τη βλάβη την προμηνύουν τρία χαρακτηριστικά: οι ανακατανεμημένοι τομείς, οι εκκρεμείς και οι μη ανακτήσιμοι εκτός σύνδεσης. Ξεχωριστά εμφανίζονται τα inode — εξαντλούνται πριν από τον ελεύθερο χώρο και εξηγούν τις εγγραφές που αποτυγχάνουν σε δίσκο με ελεύθερο χώρο.

Ο υποχρεωτικός έλεγχος πρόσβασης καθορίζει τι επιτρέπεται σε ένα πρόγραμμα, ανεξάρτητα από τα δικαιώματα του χρήστη που το εκκίνησε. Το AppArmor υπάρχει στους περισσότερους διακομιστές Ubuntu και Debian, ενώ σε πάρα πολλούς δεν περιορίζει σχεδόν τίποτα. Το μόνιτορ εμφανίζει τα φορτωμένα προφίλ με τη λειτουργία τους, τις διεργασίες υπό περιορισμό και —το πιο ενδιαφέρον μέρος— τις διεργασίες εντελώς χωρίς προφίλ. Ένα προφίλ σε λειτουργία complain απλώς καταγράφει τι θα είχε μπλοκάρει· μόνο η λειτουργία enforce περιορίζει πραγματικά.