Védje meg a szerverét. Minden támadás és változás egyetlen dashboardon.

A Fail2ban beolvassa a szolgáltatások naplóit, és kitiltja azokat a címeket, amelyek nem esnek át a hitelesítésen. A panel egyetlen képernyőn mutatja az összes jailt: hány cím van most letiltva, hány a szolgáltatás indítása óta, és melyik jail fogta el őket. Az a jail, amelyik egyáltalán semmit sem fogott el, ugyanolyan jól látszik, mint egy működő – ez legtöbbször azt jelenti, hogy nem a megfelelő naplófájlt olvassa.

IPSUM – naponta frissülő címlista azokról a címekről, amelyek más szerverek elleni támadásokban vettek részt. Az Ipset a kernel memóriájában tartja, így több százezer cím ellenőrzése sem terheli a tűzfalat. A panel mutatja a lista méretét és az utolsó frissítés idejét: ez már az első próbálkozás előtt véd – a cím még azelőtt kiszűrődik, hogy elérné a szolgáltatást.

A Lynis több száz konfigurációs ellenőrzést futtat le, és kiszámítja a hardening indexet — egy 100-as skálán mért pontszámot. A panel feldolgozza a jelentést, és a teszt azonosítójával együtt jeleníti meg a figyelmeztetéseket és ajánlásokat, hogy megnézhesse, mit jelent az egyes ellenőrzés. A 100/100 nem cél: egyes ajánlások olyan helyzetekre készültek, amelyek az Ön szerverén nem állnak fenn.

A ModSecurity az OWASP CRS szabálykészlettel a HTTP-kéréseket a webszerveren belül szűri — már a visszafejtés után, ott, ahol látható a kérés tartalma. A panel az auditnaplót olvassa: melyik kérés lett blokkolva, melyik szabály lépett életbe, mekkora volt az anomáliapontszám, és honnan érkezett a kérés. Ide elsősorban a téves riasztások miatt érdemes benézni: ugyanaz a szabály, amely újra meg újra a saját űrlapját fogja meg.

A Suricata a hálózati forgalmat szignatúrák alapján elemzi, és a találatokat az eve.json fájlba írja. A panel közvetlenül a szerveren olvassa ezt a fájlt, és a nap riasztásait kategóriákba csoportosítva jeleníti meg – Elasticsearch és Kibana nélkül, amelyek egyetlen VPS-en többet nyomnak, mint a megfigyelt gép. A friss telepítés hallgat, amíg legalább egyszer le nem fut a suricata-update: még nincsenek benne szabályok.

A CrowdSec forgatókönyvek alapján elemzi a naplókat, és a tiltásról olyan címekre is támaszkodva dönt, amelyeket a hálózat többi résztvevője jelentett – a támadó gyakran már ismertként érkezik. A panel megjeleníti az érvényes döntéseket a forgatókönyvvel és a hátralévő idővel, mellettük pedig a regisztrált bouncereket, amelyek végrehajtják ezeket a döntéseket. Ha a második lista üres, a CrowdSec csak riaszt, és semmit sem tilt.

A Falco figyeli a rendszerhívásokat, és riasztást ad, ha egy folyamat olyat tesz, ami nem tartozik rá: shellt indít a webszerverből, a rendszerbinárisok könyvtárába ír, vagy váratlan kimenő kapcsolatot nyit. A panel megjeleníti a riasztásokat a prioritással, a kiváltó szabállyal és a folyamat parancssorával együtt. Ehhez nincs szükség Kubernetesre — egy szokványos szerveren a Falco ugyanígy működik.

A Linux-on futó vírusirtó nem a saját binárisait védi, hanem azt, ami kívülről kerül a szerverre: a feltöltési űrlapon át érkező web shelleket, a levelezőszerveren keresztül jövő csatolmányokat, az ideiglenes könyvtárakba került kártékony kódot. A panel megjeleníti az utolsó ellenőrzés idejét, annak eredményét, és — a legfontosabb mezőt — a szignatúra-adatbázis korát. A hetes szignatúrákkal futó ClamAV csak a védelem látszatát kelti, semmi többet.

Az AIDE kriptográfiai lenyomatot készít a fájlrendszerről, és jelenti, mi változott az előző ellenőrzés óta – arra a kérdésre válaszol, amelyet a többi eszköz elkerül: mihez nyúltak hozzá. A panel három listát mutat: a hozzáadott, a módosított és a törölt fájlokat, az eltérő attribútumokkal együtt. A leggyakoribb reggeli jelentést az éjszakai csomagfrissítések magyarázzák – vesse össze az időpontokat, és építse újra az adatbázist.

Az audit démon pontosan azokat az eseményeket rögzíti, amelyeket kértek tőle: a /etc/passwd és /etc/shadow módosításait, az sshd_config szerkesztéseit, a jogosultságemelő binárisok indítását. A panel megjeleníti az éppen most betöltött szabályokat, a figyelt útvonalakat és a friss eseményeket a folyamattal és az eredménnyel együtt. A szabályok látása épp olyan fontos, mint az eseményeké: az üres szabálykészlet a leggyakoribb ok, amiért az auditd működőnek tűnik, de semmi értékeset nem naplóz.

A UFW megszabadítja Önt az iptables szintaxisától, de hónapokkal később már nem segít átlátni a szabályhalmazt. A panel megjeleníti a szabályokat művelettel, porttal, protokollal és forrással, elöl pedig kiemeli a bejövő és kimenő forgalom alapértelmezett házirendjeit — épp ezekről szoktak megfeledkezni. A szigorúnak tűnő szabályhalmaz semmit sem ér, ha az alapértelmezett házirend allow maradt.

Aki portokat pásztáz, egyetlen sikertelen belépési kísérletet sem hagy maga után, ezért a Fail2ban nem látja. A PSAD betölti ezt a rést: beolvassa a tűzfal eldobott forgalomról szóló bejegyzéseit, és kiértékeli a találtakat. A panel megjeleníti a megjelölt címeket, az 1-től 5-ig terjedő veszélyességi szintet, a csomagok számát és a portokat. A tűzfalban beállított naplózási szabály nélkül a PSAD néma marad — ez a telepítés utáni üres oldal szokásos oka.

Az automatikus megújítás a probléma nagyobb részét megoldotta, de csendesebb változatát is megteremtette: a tanúsítványok maguktól megújulnak – egészen addig a napig, amíg abbamaradnak, és erről elsőként a látogató szerez tudomást. A panel felsorolja a kiszolgáló által kiadott tanúsítványokat: kibocsátó, lejárati dátum, hátralévő napok. Ha egy automatikusan megújuló tanúsítványnál harminc napnál kevesebb marad, az azt jelenti, hogy a megújítás már egy ideje csendben nem működik.

A térkép a saját szervere által letiltott címeket jeleníti meg, országokra bontva és a találatok száma szerint méretezve. Ez nem kívülről vásárolt fenyegetésadat-folyam: minden pont valós forgalom, amely elért eddig a gépig. A térkép hosszú távon válik igazán hasznossá: az egyetlen hálózatból érkező sűrűsödés általában egyetlen, a listát végigpróbáló támadót jelez, míg az egyenletes szórtság a szokásos internetes háttérzaj.

A Logwatch egy jelentésbe sűríti az elmúlt nap naplóit, és e-mailben küldi el – ahol az pár hét múlva egy olyan mappában landol, amelybe soha senki nem néz bele. A gond soha nem az információval volt, hanem a kézbesítéssel. A dashboard a szerveren tartja a jelentéseket, és lapozható formában jeleníti meg őket, a korábbi napok archívumával együtt: egyetlen nap megmutatja, mi történt, egy hét pedig azt, mi változott.

A Monit figyeli a folyamatokat, fájlokat, fájlrendszereket és csomópontokat, és újraindítja azt, amit hibás állapotban talál. A panel minden ellenőrzést megjelenít az aktuális állapottal, a megfigyelt objektummal és a beavatkozások számával. Az újraindítások számlálója a legőszintébb mező: egy negyvenszer újraindított szolgáltatás nem egészséges, hanem újra meg újra összeomlik, az újraindítások pedig ezt leplezik.

Belépés a panelbe hardveres kulccsal, Touch ID-vel vagy Face ID-vel a második jelszó helyett. A kulcs a protokoll szintjén igazolja a domaint, így a bejelentkezési oldal másolata hasonló címen nem működik – az adathalászatnak nincs mit elfognia. Több kulcsot is létrehozhat, mindegyiket saját névvel és utolsó használati idővel, és bármelyiket külön visszavonhatja.

Az, hogy ezen a gépen kívülről mi érhető el, a legfontosabb biztonsági kérdés, és az ss kimenetét minden alkalommal szemmel kell újraolvasni. A panel megjeleníti a figyelő socketeket a porttal, protokollal, kötési címmel és folyamattal, alattuk pedig a fennálló kapcsolatokat. Először a kötési címet érdemes elolvasni: a 127.0.0.1 címen futó szolgáltatás csak magáról a gépről érhető el, ugyanaz a szolgáltatás 0.0.0.0 címen viszont az egész internet számára.

A Top az aktuális másodpercre válaszol, miközben általában az előző éjszakáról kérdeznek. A gyűjtő ötpercenként egy sort ír az adatbázisba, az oldal pedig ebből rajzolja ki az elmúlt napot: load average, CPU és I/O wait külön, memória és swap, hálózat, lemez, TCP-kapcsolatok, fájlleírók. A grafikonokat párban érdemes olvasni: a magas I/O wait nyugodt CPU mellett azt jelenti, hogy a szerver a lemezre vár, és értelmetlen további processzormagokat hozzáadni.

A lemezes gondokból kettő van, és nem hasonlítanak egymásra: a meghajtó, amely kezd meghibásodni, és a fájlrendszer, amely megtelik, és magával rántja a szolgáltatásokat. A panel mindkettőt lefedi: a partíciók telítettségét, a SMART-attribútumokat és a hőmérsékletet. A meghibásodást három attribútum vetíti előre: az áthelyezett szektorok, a függőben lévők és az offline állapotban javíthatatlanok. Külön jelennek meg az inode-ok is: ezek hamarabb fogynak el, mint a szabad hely, és megmagyarázzák azokat az írásokat, amelyek szabad hellyel rendelkező lemezen sem mennek végbe.

A kötelező hozzáférés-vezérlés dönti el, mit tehet meg egy program – függetlenül az őt elindító felhasználó jogaitól. Az AppArmor a legtöbb Ubuntu- és Debian-szerveren jelen van, sokukon viszont szinte semmit sem korlátoz. A panel megjeleníti a betöltött profilokat a módjukkal, a korlátozás alatt futó folyamatokat, és – az érdekesebbik fele – a profil nélküli folyamatokat is. A complain módú profil csak naplózza, mit tiltana le; ténylegesen csak az enforce korlátoz.