अपने सर्वर की सुरक्षा करें। सभी हमले और बदलाव एक ही डैशबोर्ड में।

Fail2ban सेवाओं के लॉग पढ़ता है और उन पतों को बैन करता है जो प्रमाणीकरण में विफल होते हैं। पैनल सभी jails को एक ही स्क्रीन पर दिखाता है: अभी कितने पते ब्लॉक हैं, सेवा शुरू होने के बाद से कितने, और किस jail ने उन्हें पकड़ा। जिस jail ने कुछ भी नहीं पकड़ा वह भी उतनी ही स्पष्टता से दिखता है जितना कि एक काम करता हुआ jail — अक्सर इसका मतलब है कि वह गलत लॉग फ़ाइल पढ़ रहा है।

IPSUM — रोज़ अपडेट होने वाली उन पतों की सूची जो दूसरे सर्वरों पर हमला करते पाए गए। Ipset इसे कर्नेल मेमोरी में रखता है, इसलिए लाखों पतों की जाँच से फ़ायरवॉल पर बोझ नहीं पड़ता। पैनल सूची का आकार और अंतिम अपडेट का समय दिखाता है: यह पहली कोशिश से पहले की सुरक्षा है — पता सेवा तक पहुँचने से पहले ही रोक दिया जाता है।

Lynis सैकड़ों कॉन्फ़िगरेशन जाँचें चलाता है और hardening index देता है — 100 में से एक स्कोर। पैनल इस रिपोर्ट का विश्लेषण करता है और हर चेतावनी व सुझाव को टेस्ट आइडेंटिफ़ायर के साथ दिखाता है, ताकि आप देख सकें कि हर एक का क्या मतलब है। 100 में से 100 लक्ष्य नहीं है: कुछ सुझाव ऐसे परिदृश्यों के लिए लिखे गए हैं जो आपके सर्वर पर हैं ही नहीं।

OWASP CRS नियम-सेट के साथ ModSecurity वेब सर्वर के भीतर HTTP अनुरोधों को फ़िल्टर करता है — डिक्रिप्शन के बाद, वहाँ जहाँ अनुरोध का कंटेंट दिखता है। पैनल ऑडिट लॉग पढ़ता है: कौन-सा अनुरोध ब्लॉक हुआ, कौन-सा नियम सक्रिय हुआ, एनॉमली स्कोर क्या था और अनुरोध कहाँ से आया। यहाँ मुख्यतः फ़ॉल्स पॉज़िटिव के लिए देखा जाता है: एक ही नियम जो बार-बार आपके ही फ़ॉर्म को पकड़ता है।

Suricata नेटवर्क ट्रैफ़िक को सिग्नेचर के आधार पर विश्लेषित करता है और खोजी गई घटनाओं को eve.json में लिखता है। पैनल इस फ़ाइल को सीधे सर्वर पर पढ़ता है और पिछले 24 घंटों के अलर्ट श्रेणियों के अनुसार समूहबद्ध करके दिखाता है — Elasticsearch और Kibana के बिना, जो एक ही VPS पर निगरानी की जा रही मशीन से भी ज़्यादा भारी होते हैं। नई इंस्टॉलेशन तब तक शांत रहती है जब तक suricata-update कम-से-कम एक बार न चल जाए: उसमें अभी कोई नियम नहीं होते।

CrowdSec सिनेरियो के आधार पर लॉग का विश्लेषण करता है और ब्लॉक करने के फ़ैसले लेता है, साथ ही उन पतों पर भी भरोसा करता है जिनकी सूचना नेटवर्क के अन्य सदस्यों ने दी है — हमलावर अक्सर पहले से ज्ञात होकर आता है। डैशबोर्ड सक्रिय फ़ैसलों को सिनेरियो और बचे हुए समय सहित दिखाता है, और उनके साथ वे पंजीकृत bouncer भी जो इन फ़ैसलों को लागू करते हैं। अगर दूसरी सूची खाली है, तो CrowdSec केवल सूचित करता है और कुछ भी ब्लॉक नहीं करता।

Falco सिस्टम कॉल पर नज़र रखता है और तब अलर्ट भेजता है जब कोई प्रोसेस वह करता है जिससे उसका कोई सरोकार नहीं: वेब सर्वर से शेल चलाना, सिस्टम बाइनरी की डायरेक्टरी में लिखना, या कोई अप्रत्याशित आउटगोइंग कनेक्शन खोलना। डैशबोर्ड अलर्ट को उनकी प्राथमिकता, ट्रिगर हुए नियम और प्रोसेस की कमांड लाइन के साथ दिखाता है। इसके लिए Kubernetes की ज़रूरत नहीं — सामान्य सर्वर पर भी Falco इसी तरह काम करता है।

Linux पर एंटीवायरस अपनी बाइनरी की नहीं, बल्कि उस चीज़ की रक्षा करता है जो बाहर से सर्वर पर आती है: अपलोड फ़ॉर्म के ज़रिए वेब-शेल, मेल सर्वर के ज़रिए अटैचमेंट, अस्थायी डायरेक्टरी में पेलोड। पैनल अंतिम जाँच का समय, उसमें क्या मिला और — सबसे अहम फ़ील्ड — सिग्नेचर बेस की आयु दिखाता है। सप्ताह भर पुराने सिग्नेचर वाला ClamAV केवल सुरक्षा का आभास देता है, इससे ज़्यादा कुछ नहीं।

AIDE फ़ाइल सिस्टम का क्रिप्टोग्राफ़िक स्नैपशॉट लेता है और बताता है कि पिछली जाँच के बाद क्या बदला — यह उस सवाल का जवाब देता है जिससे बाकी टूल कतराते हैं: उन्होंने किसे छुआ। पैनल तीन सूचियाँ दिखाता है: जोड़ी गई, बदली गई और हटाई गई फ़ाइलें, साथ में बदले हुए एट्रिब्यूट्स। सबसे आम सुबह की रिपोर्ट की वजह रात के पैकेज अपडेट होते हैं — समय मिलाएँ और डेटाबेस दोबारा बनाएँ।

ऑडिट डेमन ठीक वही घटनाएँ रिकॉर्ड करता है जिनके लिए उसे कहा गया है: /etc/passwd और /etc/shadow में बदलाव, sshd_config के संशोधन, प्रिविलेज-एस्केलेशन बाइनरी का चलना। पैनल अभी लोड किए गए नियम, ट्रैक किए जा रहे पथ और प्रक्रिया व परिणाम सहित ताज़ा घटनाएँ दिखाता है। नियमों को देखना घटनाओं से कम ज़रूरी नहीं: खाली सेट सबसे आम कारण है जिसकी वजह से auditd चलता हुआ दिखता है पर कुछ भी उपयोगी रिकॉर्ड नहीं करता।

UFW आपको iptables के सिंटैक्स से मुक्त कर देता है, पर महीनों बाद नियमों के सेट को समझने में मदद नहीं करता। पैनल हर नियम को उसकी कार्रवाई, पोर्ट, प्रोटोकॉल और स्रोत के साथ दिखाता है, और सबसे आगे इनकमिंग व आउटगोइंग ट्रैफ़िक की डिफ़ॉल्ट नीतियाँ रखता है — जिन्हें आमतौर पर लोग भूल ही जाते हैं। देखने में सख्त नियमों का सेट कोई मायने नहीं रखता, अगर डिफ़ॉल्ट नीति allow पर रह गई हो।

जो पोर्ट खंगालता है, वह लॉगिन की कोई असफल कोशिश नहीं छोड़ता, इसलिए Fail2ban उसे नहीं देख पाता। PSAD इस कमी को भरता है: यह फ़ायरवॉल में गिराए गए ट्रैफ़िक की प्रविष्टियाँ पढ़ता है और जो मिले उसका आकलन करता है। पैनल चिह्नित पते, 1 से 5 तक का खतरा स्तर, पैकेट की संख्या और पोर्ट दिखाता है। फ़ायरवॉल में लॉगिंग नियम के बिना PSAD चुप रहता है — इंस्टॉल के बाद खाली पेज दिखने की सामान्य वजह यही होती है।

ऑटो-रिन्युअल ने समस्या का बड़ा हिस्सा हल कर दिया और उसका एक शांत संस्करण बना दिया: सर्टिफ़िकेट खुद को रिन्यू करते रहते हैं — उस दिन तक, जब वे बंद हो जाते हैं, और इसकी खबर सबसे पहले किसी विज़िटर को मिलती है। पैनल उन सर्टिफ़िकेट की सूची देता है जो सर्वर देता है: जारीकर्ता, समाप्ति तिथि, बचे हुए दिन। ऑटो-रिन्युअल वाले सर्टिफ़िकेट में तीस दिन से कम होना यह दर्शाता है कि रिन्युअल कुछ समय से चुपचाप काम नहीं कर रहा।

यह मैप उन पतों को दर्शाता है जिन्हें आपके अपने सर्वर ने ब्लॉक किया है, जिन्हें देशों के स्तर तक हल किया गया है और हिट की संख्या के अनुसार स्केल किया गया है। यह बाहर से खरीदा गया थ्रेट डेटा स्ट्रीम नहीं है: हर बिंदु ऐसा ट्रैफ़िक है जो इस मशीन तक पहुँचा। मैप समय के साथ उपयोगी बनता है: किसी एक नेटवर्क से घनत्व आमतौर पर किसी सूची पर चल रहे एकल हमलावर को दर्शाता है, जबकि समान बिखराव सामान्य इंटरनेट शोर होता है।

Logwatch दिन भर के लॉग को एक रिपोर्ट में समेटकर ईमेल से भेज देता है — जो कुछ ही हफ़्तों में ऐसे फ़ोल्डर में पड़ी रहती है जिसे कोई नहीं खोलता। समस्या कभी जानकारी नहीं रही, समस्या उसकी डिलीवरी रही है। यह डैशबोर्ड रिपोर्ट्स को सर्वर पर रखता है और उन्हें पिछले दिनों के संग्रह के साथ पेज-दर-पेज दिखाता है: एक दिन बताता है कि क्या हुआ, और एक हफ़्ता — कि क्या बदला।

Monit प्रोसेस, फ़ाइलों, फ़ाइल सिस्टम और नोड्स पर नज़र रखता है और जो टूटा हुआ मिले उसे फिर से चालू कर देता है। पैनल हर जाँच को उसकी मौजूदा स्थिति, निगरानी किए जा रहे ऑब्जेक्ट और हस्तक्षेपों की संख्या के साथ दिखाता है। रीस्टार्ट काउंटर सबसे सच्चा फ़ील्ड है: चालीस बार रीस्टार्ट की गई सेवा स्वस्थ नहीं होती — वह बार-बार गिरती रहती है, और रीस्टार्ट इसे छिपा देते हैं।

दूसरे पासवर्ड के बजाय हार्डवेयर की, Touch ID या Face ID से पैनल में लॉग इन करें। की प्रोटोकॉल स्तर पर डोमेन की पुष्टि करती है, इसलिए मिलते-जुलते पते पर बनी लॉगिन पेज की नकल काम नहीं करेगी — फ़िशिंग के पास पकड़ने को कुछ नहीं रहता। आप कई कुंजियाँ बना सकते हैं, हर एक का अपना नाम और अंतिम उपयोग समय होता है, और किसी को भी अलग से रद्द कर सकते हैं।

इस मशीन पर बाहर से क्या पहुँच योग्य है — यह सुरक्षा का सबसे उपयोगी सवाल है, और ss का आउटपुट हर बार आँखों से दोबारा पढ़ना पड़ता है। पैनल पोर्ट, प्रोटोकॉल, बाइंड एड्रेस और प्रोसेस के साथ सुनने वाले सॉकेट दिखाता है, और नीचे — स्थापित कनेक्शन। सबसे पहले बाइंड एड्रेस पढ़ना चाहिए: 127.0.0.1 पर चलने वाली सेवा केवल इसी मशीन से पहुँच योग्य है, वही सेवा 0.0.0.0 पर — पूरे इंटरनेट के लिए।

Top वर्तमान सेकंड का जवाब देता है, जबकि सवाल आमतौर पर बीती रात के बारे में होता है। कलेक्टर हर पाँच मिनट में डेटाबेस में एक पंक्ति जोड़ता है, और पेज उसके आधार पर पिछले 24 घंटे दिखाता है: load average, CPU और I/O wait अलग-अलग, मेमोरी और swap, नेटवर्क, डिस्क, TCP कनेक्शन, फ़ाइल डिस्क्रिप्टर। ग्राफ़ को जोड़ियों में पढ़ना चाहिए: शांत CPU के साथ ऊँचा I/O wait यह दर्शाता है कि सर्वर डिस्क का इंतज़ार कर रहा है, और प्रोसेसर कोर बढ़ाना बेकार है।

डिस्क की मुसीबतें दो हैं, और वे एक-दूसरे से बिलकुल अलग हैं: एक ड्राइव जो फेल होने लगती है, और एक फ़ाइल सिस्टम जो भर जाता है और सेवाओं को अपने साथ खींच ले जाता है। डैशबोर्ड दोनों को कवर करता है — विभाजनों की व्यस्तता, SMART एट्रिब्यूट और तापमान। फेल होने का संकेत तीन एट्रिब्यूट देते हैं: पुनर्निर्धारित सेक्टर, प्रतीक्षारत, और ऑफ़लाइन में असुधार्य। inode अलग से दिखाए जाते हैं — ये खाली जगह से पहले खत्म होते हैं और उन राइट को समझाते हैं जो खाली जगह वाली डिस्क पर भी नहीं होतीं।

अनिवार्य पहुँच नियंत्रण यह तय करता है कि किसी प्रोग्राम को क्या करने की अनुमति है, चाहे उसे चलाने वाले उपयोगकर्ता के पास कोई भी अधिकार हों। AppArmor अधिकांश Ubuntu और Debian सर्वरों पर मौजूद रहता है और बहुतों पर लगभग कुछ भी सीमित नहीं करता। पैनल लोड की गई प्रोफ़ाइलों को उनके मोड सहित दिखाता है, प्रतिबंध के अधीन प्रक्रियाएँ और — दिलचस्प आधा हिस्सा — वे प्रक्रियाएँ जिनकी कोई प्रोफ़ाइल ही नहीं है। complain मोड की प्रोफ़ाइल केवल यह रिकॉर्ड करती है कि वह क्या ब्लॉक करती; सीमित तो केवल enforce करता है।