Suojaa palvelimesi. Kaikki hyökkäykset ja muutokset yhdellä paneelilla.

Fail2ban lukee palveluiden lokeja ja bannaa osoitteet, jotka eivät läpäise todennusta. Paneeli näyttää kaikki jailit yhdellä näytöllä: kuinka monta osoitetta on nyt estetty, kuinka monta palvelun käynnistyksestä lähtien ja mikä jail ne nappasi. Jail, joka ei ole napannut mitään, näkyy yhtä selvästi kuin toimivakin – useimmiten se tarkoittaa, että se lukee väärää lokitiedostoa.

IPSUM on päivittäin päivittyvä lista osoitteista, jotka on havaittu hyökkäämässä muiden palvelimille. Ipset pitää sitä ytimen muistissa, joten satojen tuhansien osoitteiden tarkistus ei kuormita palomuuria. Paneeli näyttää listan koon ja viimeisimmän päivityksen ajan: tämä on suojaa ennen ensimmäistäkin yritystä — osoite torjutaan jo ennen kuin se ehtii palveluun.

Lynis suorittaa satoja konfiguraatiotarkistuksia ja tuottaa hardening indexin — arvosanan asteikolla 100. Paneeli jäsentää raportin ja näyttää varoitukset ja suositukset yhdessä testitunnisteen kanssa, jotta voit tarkistaa kunkin merkityksen. 100/100 ei ole tavoite: osa suosituksista on kirjoitettu skenaarioihin, joita palvelimellasi ei ole.

ModSecurity yhdessä OWASP CRS -sääntöjoukon kanssa suodattaa HTTP-pyynnöt web-palvelimen sisällä — jo salauksen purun jälkeen, siellä missä pyynnön sisältö on näkyvissä. Paneeli lukee auditointilokia: mikä pyyntö estettiin, mikä sääntö laukesi, mikä oli anomaliapistemäärä ja mistä pyyntö tuli. Tänne katsotaan ennen kaikkea väärien hälytysten vuoksi: sama sääntö, joka kerta toisensa jälkeen jää kiinni omaan lomakkeeseesi.

Suricata analysoi verkkoliikennettä allekirjoitusten perusteella ja kirjaa löydökset eve.json-tiedostoon. Paneeli lukee tämän tiedoston suoraan palvelimelta ja näyttää vuorokauden hälytykset luokittain ryhmiteltyinä — ilman Elasticsearchia ja Kibanaa, jotka yhdellä VPS:llä vievät enemmän tilaa kuin valvottava kone. Tuore asennus pysyy hiljaa, kunnes suricata-update on ajettu vähintään kerran: sääntöjä ei vielä ole.

CrowdSec analysoi lokit skenaarioiden mukaan ja tekee estopäätökset nojaten myös osoitteisiin, joista muut verkon jäsenet ovat ilmoittaneet — hyökkääjä saapuu usein jo tunnettuna. Paneeli näyttää voimassa olevat päätökset skenaarioineen ja jäljellä olevine aikoineen, ja niiden vieressä rekisteröidyt bouncerit, jotka nämä päätökset panevat täytäntöön. Jos jälkimmäinen lista on tyhjä, CrowdSec vain hälyttää eikä estä mitään.

Falco valvoo järjestelmäkutsuja ja nostaa hälytyksen, kun prosessi tekee jotain, mikä ei sille kuulu: käynnistää komentotulkin verkkopalvelimesta, kirjoittaa järjestelmän binaarihakemistoon tai avaa odottamattoman lähtevän yhteyden. Paneeli näyttää hälytykset prioriteetin, lauenneen säännön ja prosessin komentorivin kera. Kubernetesia ei tähän tarvita — tavallisella palvelimella Falco toimii aivan samoin.

Linux-antivirus ei suojaa omia binaarejaan vaan sitä, mikä päätyy palvelimelle ulkopuolelta: web-shellit latauslomakkeen kautta, liitteet postipalvelimen kautta, hyötykuormat väliaikaishakemistoissa. Paneeli näyttää viimeisimmän tarkistuksen ajan, mitä se löysi ja — tärkeimpänä kenttänä — allekirjoitustietokannan iän. ClamAV viikon vanhoilla allekirjoituksilla luo vaikutelman suojasta eikä mitään sen enempää.

AIDE ottaa tiedostojärjestelmästä kryptografisen jäljen ja kertoo, mikä on muuttunut edellisen tarkistuksen jälkeen – vastaten kysymykseen, jota muut työkalut väistävät: mihin ne koskivat. Paneeli näyttää kolme listaa: lisätyt, muutetut ja poistetut tiedostot sekä poikkeavat attribuutit. Yleisin aamuraportti selittyy öisillä pakettipäivityksillä – tarkista ajankohta ja rakenna tietokanta uudelleen.

Auditointidemoni tallentaa juuri ne tapahtumat, joita siltä on pyydetty: muutokset tiedostoihin /etc/passwd ja /etc/shadow, sshd_config-muokkaukset, oikeuksia korottavien binaarien käynnistykset. Paneeli näyttää juuri nyt ladatut säännöt, seuratut polut ja tuoreet tapahtumat prosesseineen ja lopputuloksineen. Sääntöjen näkeminen on yhtä tärkeää kuin tapahtumien: tyhjä sääntöjoukko on yleisin syy siihen, että auditd näyttää toimivan mutta ei kirjaa mitään arvokasta.

UFW poistaa tarpeen opetella iptables-syntaksia, mutta ei auta hahmottamaan sääntöjoukkoa kuukausia myöhemmin. Paneeli näyttää säännöt toiminnon, portin, protokollan ja lähteen kera, ja nostaa etualalle saapuvan ja lähtevän liikenteen oletuskäytännöt – juuri ne yleensä unohtuvat. Tiukalta näyttävä sääntöjoukko ei merkitse mitään, jos oletuskäytäntö on jäänyt tilaan allow.

Portteja luotaava ei jätä yhtään epäonnistunutta kirjautumisyritystä, joten Fail2ban ei näe häntä. PSAD paikkaa tämän aukon: se lukee palomuurin merkinnät hylätystä liikenteestä ja arvioi löydökset. Paneeli näyttää merkityt osoitteet, vaarallisuustason 1–5, pakettien määrän ja portit. Ilman palomuurin lokitussääntöä PSAD pysyy hiljaa — juuri tämä on tavallinen syy tyhjään sivuun asennuksen jälkeen.

Automaattinen uusiminen ratkaisi suurimman osan ongelmasta ja loi siitä hiljaisemman version: varmenteet uusivat itsensä – siihen päivään asti, jolloin ne eivät enää uusi, ja ensimmäisenä sen huomaa kävijä. Paneeli listaa varmenteet, jotka palvelin tarjoaa: myöntäjä, vanhenemispäivä, jäljellä olevat päivät. Alle kolmekymmentä päivää automaattisesti uusiutuvalla varmenteella tarkoittaa, ettei uusiminen ole jo jonkin aikaa hiljaa toiminut.

Kartalle merkitään osoitteet, jotka oma palvelimesi on estänyt, paikannettuina maittain ja skaalattuina osumien määrän mukaan. Kyse ei ole ulkopuolelta ostetusta uhkadatavirrasta: jokainen piste on liikennettä, joka on saapunut juuri tälle koneelle. Kartta muuttuu hyödylliseksi ajan myötä: yhdestä verkosta tuleva tihentymä tarkoittaa yleensä yhtä tekijää, joka käy listaa läpi, kun taas tasainen hajonta on tavallista internetin taustakohinaa.

Logwatch kokoaa vuorokauden lokit yhdeksi raportiksi ja lähettää sen sähköpostitse — jonne se parin viikon kuluttua päätyy kansioon, johon kukaan ei katso. Ongelma ei ole koskaan ollut tieto vaan sen toimittaminen. Dashboard säilyttää raportit palvelimella ja näyttää ne sivuittain edellisten päivien arkiston kera: yksi päivä kertoo, mitä tapahtui, ja viikko sen, mikä muuttui.

Monit valvoo prosesseja, tiedostoja, tiedostojärjestelmiä ja isäntiä sekä käynnistää uudelleen sen, minkä havaitsee rikkoutuneeksi. Paneeli näyttää jokaisen tarkistuksen nykyisen tilan, valvottavan kohteen ja väliintulojen määrän. Uudelleenkäynnistysten laskuri on rehellisin kenttä: neljäkymmentä kertaa uudelleenkäynnistetty palvelu ei ole terve – se kaatuu kerta toisensa jälkeen, ja uudelleenkäynnistykset vain peittävät sen.

Kirjautuminen paneeliin laiteavaimella, Touch ID:llä tai Face ID:llä toisen salasanan sijaan. Avain vahvistaa domainin protokollatasolla, joten samankaltaisessa osoitteessa oleva kirjautumissivun kopio ei toimi — tietojenkalastelulla ei ole mitään siepattavaa. Avaimia voi luoda useita, kukin omalla nimellään ja viimeisen käytön ajankohdalla, ja minkä tahansa niistä voi peruuttaa erikseen.

Se, mikä tällä koneella on ulkoa tavoitettavissa, on tietoturvan hyödyllisin kysymys, ja ss-komennon tuloste on joka kerta luettava silmillä uudelleen. Paneeli näyttää kuuntelevat soketit portteineen, protokollineen, sidontaosoitteineen ja prosesseineen, ja alempana muodostetut yhteydet. Ensimmäisenä kannattaa lukea sidontaosoite: osoitteessa 127.0.0.1 oleva palvelu on käytettävissä vain koneelta itseltään, sama palvelu osoitteessa 0.0.0.0 taas koko internetistä.

Top vastaa kysymykseen nykyisestä sekunnista, mutta yleensä kysytään edellisestä yöstä. Keräin lisää tietokantaan yhden rivin viiden minuutin välein, ja sivu piirtää sen perusteella viimeiset 24 tuntia: load average, CPU ja I/O wait erikseen, muisti ja swap, verkko, levy, TCP-yhteydet, tiedostokahvat. Kuvaajia kannattaa lukea pareittain: korkea I/O wait rauhallisen CPU:n aikana tarkoittaa, että palvelin odottaa levyä, eikä suoritinytimien lisäämisestä ole hyötyä.

Levyongelmia on kaksi, eivätkä ne muistuta toisiaan: hajoamassa oleva asema ja tiedostojärjestelmä, joka täyttyy ja vetää palvelut mukanaan. Paneeli kattaa molemmat – osioiden täyttöasteen, SMART-attribuutit ja lämpötilan. Vikaa ennakoi kolme attribuuttia: uudelleensijoitetut sektorit, odottavat sektorit ja offline-tilassa korjaamattomat. Erikseen näytetään inodet – ne loppuvat ennen vapaata tilaa ja selittävät kirjoitukset, jotka epäonnistuvat vaikka levyllä on tilaa.

Pakollinen pääsynhallinta määrää, mitä ohjelma saa tehdä riippumatta sen käynnistäneen käyttäjän oikeuksista. AppArmor on asennettuna useimmilla Ubuntu- ja Debian-palvelimilla, eikä se monilla rajoita juuri mitään. Paneeli näyttää ladatut profiilit tiloineen, rajoituksen alaiset prosessit ja — kiinnostavampi puolisko — kokonaan ilman profiilia jäävät prosessit. complain-tilassa profiili vain kirjaa, mitä se estäisi; vain enforce rajoittaa.