Uno sguardo ravvicinato agli strumenti già presenti sul vostro server: cosa mostrano, come leggerne l’output e dove di solito si sbaglia.
Perché un load average di 8 può essere sano e uno di 2 un’emergenza, che differenza c’è fra una CPU occupata e un disco che il sistema sta aspettando e che cosa significa uno swap che sale una volta e non torna più a zero.
LeggiI segnali che sul server c’è qualcun altro e l’ordine dei controlli: accessi, file modificati, connessioni in uscita. Senza panico e senza reinstallare da zero.
LeggiOtto posti da cui il codice dannoso si riavvia dopo un riavvio e dopo la cancellazione, e i comandi che verificano l’intero elenco in cinque minuti.
LeggiFalco sa sorvegliare il comportamento dei processi su un server semplice: un interprete avviato da PHP, qualcuno che legge le sue chiavi, un miner in /tmp. Che cosa disattivare per non annegare nel rumore.
LeggiContatore locale contro reputazione condivisa, perché dopo l’installazione di CrowdSec non viene bloccato nulla e che cosa lascia il suo server per strada.
LeggiPerché la configurazione standard di Suricata divora il disco in due giorni, che cosa lasciare in eve.json e come leggere gli avvisi senza uno stack di tre servizi.
LeggiPerché il CRS blocca i suoi stessi moduli, come trovare la regola colpevole nel registro e tre modi di creare un’eccezione senza disattivare la protezione.
LeggiUna scansione di porte non lascia tracce nei registri delle applicazioni, quindi Fail2ban non la vede. Come configurare PSAD e perché non mostra nulla senza la registrazione attiva in UFW.
LeggiI profili limitano un programma a ciò che gli compete e trasformano un sito violato in un fastidio minore. Che cosa è attivo di default e come aggiungere un profilo senza rompere il servizio.
LeggiDi fabbrica auditd non registra quasi nulla di utile. Un insieme di regole che risponde alle domande di dopo un incidente, e come leggere il risultato senza sapere ausearch a memoria.
LeggiUn riferimento di integrità è già dentro ogni pacchetto Debian e Ubuntu. Come usarlo, perché alcuni ritrovamenti sono legittimi e perché la copertura è incompleta.
LeggiConfigurare il controllo di integrità perché il rapporto venga letto: che cosa escludere, dove tenere la base e perché aide --update non si lancia mai alla cieca.
LeggiL’ordine di verifica del database quando tutto rallenta: connessioni, query lente, dimensione del buffer. Più due cose che divorano il disco in silenzio.
LeggiA che serve ClamAV su un server senza Windows, perché non protegge da un’intrusione, quanta memoria chiede clamd e come analizzare i caricamenti invece dell’intero disco.
LeggiCome leggere un rapporto di Lynis, quali raccomandazioni danno un guadagno reale, quali non valgono per un VPS e perché il 100 su 100 non esiste.
LeggiCinque motivi per cui certbot smette in silenzio di rinnovare un certificato, e perché va verificato ciò che il server consegna davvero e non il file sul disco.
LeggiPerché df mostra gigabyte liberi insieme a un errore di «spazio esaurito», dove finiscono i file cancellati ma non liberati e quali attributi SMART annunciano davvero un guasto.
LeggiCome leggere l’output di ss, che cosa distingue 0.0.0.0 da 127.0.0.1 e perché Redis senza password su un indirizzo pubblico significa un’intrusione entro un’ora.
LeggiIn che cosa le verifiche di Monit differiscono da Restart=always in systemd, come evitare un ciclo infinito di riavvii e perché l’interfaccia web sulla porta 2812 non deve essere esposta.
LeggiCome configurare unattended-upgrades perché le patch arrivino da sole senza rompere nulla di notte, e perché l’indicatore reboot-required non si può ignorare.
LeggiChe cosa attivare oltre a sshd, quali valori di bantime e maxretry hanno senso e perché su Debian 12 la jail sshd spesso non cattura proprio nulla.
LeggiL’ordine delle regole, IPv6 che aggira il filtro, Docker che pubblica porte scavalcando UFW e perché «status active» non significa ancora che una porta sia chiusa.
LeggiChiavi al posto delle password in dieci minuti: come mettersi alla prova prima di tagliare, perché un file chiamato 90-hardening.conf perde contro quello del cloud e che fare con ssh.socket su Ubuntu 24.04.
LeggiCome regolare il livello di dettaglio perché il messaggio stia in una schermata, quali sezioni leggere per prime e perché su Debian 12 la sezione SSH risulta vuota.
Leggi