Proteggi il tuo server. Tutti gli attacchi e le modifiche in un'unica dashboard.

Fail2ban legge i log dei servizi e banna gli indirizzi che non superano l'autenticazione. Il pannello mostra tutti i jail in un'unica schermata: quanti indirizzi sono bloccati adesso, quanti dall'avvio del servizio e quale jail li ha intercettati. Un jail che non ha intercettato nulla è visibile con la stessa chiarezza di uno funzionante: il più delle volte significa che sta leggendo il file di log sbagliato.

IPSUM: elenco di indirizzi aggiornato ogni giorno, individuati in attacchi contro altri server. Ipset lo mantiene nella memoria del kernel, così controllare centinaia di migliaia di indirizzi non appesantisce il firewall. Il pannello mostra la dimensione dell'elenco e l'orario dell'ultimo aggiornamento: è una protezione preventiva, l'indirizzo viene bloccato prima ancora di raggiungere il servizio.

Lynis esegue centinaia di controlli di configurazione e restituisce un hardening index — un punteggio su 100. Il pannello analizza il report e mostra avvisi e raccomandazioni insieme all'identificativo del test, così può vedere cosa significa ciascuno. 100 su 100 non è l'obiettivo: alcune raccomandazioni sono pensate per scenari che sul suo server non esistono.

ModSecurity con il set di regole OWASP CRS filtra le richieste HTTP all'interno del web server — già dopo la decifratura, là dove è visibile il contenuto della richiesta. Il pannello legge il registro di audit: quale richiesta è stata bloccata, quale regola è scattata, qual era il punteggio di anomalia e da dove proveniva la richiesta. Qui si guarda soprattutto per i falsi positivi: una stessa regola che intercetta più volte il suo stesso modulo.

Suricata analizza il traffico di rete in base alle firme e scrive i risultati in eve.json. Il pannello legge questo file direttamente sul server e mostra gli avvisi delle ultime 24 ore, raggruppati per categoria, senza Elasticsearch e Kibana, che su un solo VPS pesano più della macchina monitorata. Un'installazione appena fatta resta silenziosa finché suricata-update non viene eseguito almeno una volta: non contiene ancora regole.

CrowdSec analizza i registri secondo scenari e prende decisioni di blocco basandosi anche sugli indirizzi segnalati da altri partecipanti della rete: spesso l'aggressore arriva già noto. Il pannello mostra le decisioni attive con lo scenario e il tempo residuo, e accanto i bouncer registrati che le eseguono. Se il secondo elenco è vuoto, CrowdSec si limita ad avvisare senza bloccare nulla.

Falco monitora le chiamate di sistema e genera un avviso quando un processo fa qualcosa che non lo riguarda: avvia una shell dal server web, scrive nella directory dei binari di sistema, apre una connessione in uscita inaspettata. Il pannello mostra gli avvisi con priorità, la regola attivata e la riga di comando del processo. Kubernetes non è necessario: su un server normale Falco funziona allo stesso modo.

L'antivirus su Linux non protegge i propri binari, ma ciò che arriva al server dall'esterno: web shell tramite i form di caricamento, allegati tramite il server di posta, payload nelle directory temporanee. Il pannello mostra l'orario dell'ultima scansione, cosa ha rilevato e — il campo più importante — l'età del database delle firme. ClamAV con firme vecchie di una settimana dà solo l'illusione di protezione, nulla di più.

AIDE acquisisce un'impronta crittografica del file system e segnala che cosa è cambiato dall'ultimo controllo, rispondendo alla domanda che gli altri strumenti eludono: che cosa hanno toccato. Il pannello mostra tre elenchi: file aggiunti, modificati ed eliminati, insieme agli attributi divergenti. Il report mattutino più frequente si spiega con gli aggiornamenti notturni dei pacchetti: verifichi l'orario e ricostruisca il database.

Il demone di audit registra esattamente gli eventi richiesti: modifiche a /etc/passwd e /etc/shadow, cambiamenti a sshd_config, esecuzione di binari con elevazione di privilegi. Il pannello mostra le regole caricate in questo momento, i percorsi monitorati e gli eventi recenti con processo ed esito. Vedere le regole è importante quanto vedere gli eventi: un set vuoto è la causa più frequente per cui auditd sembra funzionare senza registrare nulla di utile.

UFW elimina la sintassi di iptables, ma non aiuta a decifrare un set di regole mesi dopo. Il pannello mostra le regole con azione, porta, protocollo e origine, mettendo in primo piano le politiche predefinite per il traffico in entrata e in uscita, proprio quelle che di solito si dimenticano. Un set di regole apparentemente rigoroso non conta nulla se la politica predefinita è rimasta su allow.

Chi effettua la scansione delle porte non lascia alcun tentativo di accesso fallito, perciò Fail2ban non lo rileva. PSAD colma questa lacuna: legge le voci del firewall sul traffico scartato e valuta ciò che trova. Il pannello mostra gli indirizzi contrassegnati, il livello di pericolo da 1 a 5, il numero di pacchetti e le porte. Senza una regola di registrazione nel firewall, PSAD resta in silenzio — ed è questa la causa comune di una pagina vuota dopo l'installazione.

Il rinnovo automatico ha risolto gran parte del problema, creandone una versione più silenziosa: i certificati si rinnovano da soli, fino al giorno in cui smettono di farlo, e il primo ad accorgersene è il visitatore. Il pannello elenca i certificati che il server presenta: emittente, data di scadenza, giorni rimanenti. Meno di trenta giorni su un certificato con rinnovo automatico significa che il rinnovo, silenziosamente, non funziona già da un po'.

La mappa traccia gli indirizzi bloccati dal Suo stesso server, risolti a livello di paese e ridimensionati in base al numero di rilevamenti. Non è un flusso di dati sulle minacce acquistato altrove: ogni punto è traffico giunto fino a questa macchina. La mappa diventa utile nel tempo: un addensamento da una singola rete indica di solito un unico esecutore che segue una lista, mentre una dispersione uniforme è normale rumore di fondo di internet.

Logwatch riepiloga i log di una giornata in un unico rapporto e lo invia via email — dove, dopo un paio di settimane, finisce in una cartella che nessuno controlla. Il problema non è mai stata l'informazione, ma la sua consegna. La dashboard conserva i rapporti sul server e li mostra per pagine, con l'archivio dei giorni precedenti: un giorno dice cosa è successo, una settimana dice cosa è cambiato.

Monit sorveglia processi, file, file system e host e riavvia ciò che trova in stato di errore. Il pannello mostra ogni controllo con lo stato attuale, l'oggetto monitorato e il numero di interventi. Il contatore dei riavvii è il campo più sincero: un servizio riavviato quaranta volte non è sano, continua a bloccarsi e i riavvii lo mascherano.

Accesso alla dashboard tramite chiave hardware, Touch ID o Face ID al posto della seconda password. La chiave verifica il dominio a livello di protocollo, quindi una copia della pagina di accesso su un indirizzo simile non funziona: il phishing non ha nulla da intercettare. Può registrare più chiavi, ciascuna con un proprio nome e orario di ultimo utilizzo, e revocarne una qualsiasi singolarmente.

Ciò che di questa macchina è raggiungibile dall'esterno è la domanda di sicurezza più utile, e l'output di ss va riletto a occhio ogni volta. Il pannello mostra i socket in ascolto con porta, protocollo, indirizzo di bind e processo, e più sotto le connessioni stabilite. La prima cosa da leggere è l'indirizzo di bind: un servizio su 127.0.0.1 è accessibile solo dalla macchina stessa, lo stesso servizio su 0.0.0.0 è esposto a tutta Internet.

Top risponde su cosa accade nel secondo attuale, mentre di solito si vuole sapere cos'è successo la notte precedente. Il collector, ogni cinque minuti, aggiunge una riga al database, e la pagina disegna a partire da essa le ultime 24 ore: load average, CPU e I/O wait separati, memoria e swap, rete, disco, connessioni TCP, descrittori di file. Conviene leggere i grafici a coppie: un I/O wait elevato con CPU tranquilla significa che il server sta aspettando il disco, e aggiungere core del processore è inutile.

I problemi del disco sono due, e ben diversi tra loro: l'unità che inizia a cedere e il file system che si riempie trascinando con sé i servizi. Il pannello li copre entrambi — occupazione delle partizioni, attributi SMART e temperatura. Il guasto è annunciato da tre attributi: settori riallocati, in attesa e non correggibili offline. A parte vengono mostrati gli inode: si esauriscono prima dello spazio libero e spiegano le scritture che non passano su un disco che ha ancora spazio disponibile.

Il controllo di accesso obbligatorio decide cosa è consentito a un programma, indipendentemente dai permessi dell'utente che lo ha avviato. AppArmor è presente sulla maggior parte dei server Ubuntu e Debian, ma su moltissimi non limita quasi nulla. Il pannello mostra i profili caricati con la relativa modalità, i processi sotto restrizione e — la parte più interessante — i processi del tutto privi di profilo. Un profilo in modalità complain registra soltanto ciò che bloccherebbe; solo enforce applica restrizioni.