Bescherm uw server. Alle aanvallen en wijzigingen in één dashboard.

Fail2ban leest de logs van diensten en bant adressen die de authenticatie niet doorstaan. Het dashboard toont alle jails op één scherm: hoeveel adressen er nu geblokkeerd zijn, hoeveel sinds de start van de dienst en welke jail ze heeft gevangen. Een jail die helemaal niets heeft gevangen, is even duidelijk zichtbaar als een werkende — meestal betekent dit dat hij het verkeerde logbestand leest.

IPSUM — een dagelijks bijgewerkte lijst met adressen die zijn betrapt op aanvallen op andermans servers. Ipset houdt deze in het kernelgeheugen, waardoor het controleren van honderdduizenden adressen de firewall niet belast. Het paneel toont de omvang van de lijst en het tijdstip van de laatste update: dit is bescherming vóór de eerste poging — het adres wordt afgekapt voordat het de service bereikt.

Lynis voert honderden configuratiecontroles uit en geeft een hardening index — een score van 100. De dashboard analyseert het rapport en toont waarschuwingen en aanbevelingen samen met de test-identifier, zodat u kunt bekijken wat elke betekent. 100 van 100 is geen doel: sommige aanbevelingen zijn geschreven voor scenario's die op uw server niet bestaan.

ModSecurity met de OWASP CRS-regelset filtert HTTP-verzoeken binnen de webserver — na de ontsleuteling, waar de inhoud van het verzoek zichtbaar is. Het paneel leest het auditlogboek: welk verzoek is geblokkeerd, welke regel is geactiveerd, wat de anomaliescore was en waar het verzoek vandaan kwam. Men kijkt hier vooral naar valse positieven: dezelfde regel die keer op keer uw eigen formulier tegenhoudt.

Suricata analyseert netwerkverkeer op basis van signatures en schrijft bevindingen naar eve.json. Het dashboard leest dit bestand rechtstreeks op de server en toont de meldingen van de afgelopen 24 uur, gegroepeerd per categorie — zonder Elasticsearch en Kibana, die op één VPS meer wegen dan de bewaakte machine zelf. Een verse installatie blijft stil totdat suricata-update minstens één keer heeft gedraaid: er zitten nog geen regels in.

CrowdSec analyseert logs volgens scenario's en neemt blokkeringsbeslissingen mede op basis van adressen die door andere deelnemers in het netwerk zijn gemeld — een aanvaller is vaak al bekend. Het dashboard toont de actieve beslissingen met scenario en resterende tijd, en daarnaast de geregistreerde bouncers die deze beslissingen uitvoeren. Is de tweede lijst leeg, dan waarschuwt CrowdSec alleen en blokkeert het niets.

Falco bewaakt systeemaanroepen en slaat alarm wanneer een proces iets doet wat het niet aangaat: een shell starten vanuit de webserver, schrijven naar de map met systeembinaries of een onverwachte uitgaande verbinding openen. Het dashboard toont meldingen met de prioriteit, de regel die is geactiveerd en de opdrachtregel van het proces. Kubernetes is hiervoor niet nodig — op een gewone server werkt Falco net zo goed.

Antivirus op Linux beschermt niet zijn eigen binaries, maar wat van buitenaf op de server terechtkomt: webshells via een uploadformulier, bijlagen via de mailserver, payloads in tijdelijke mappen. Het paneel toont het tijdstip van de laatste controle, wat die heeft gevonden en — het belangrijkste veld — de leeftijd van de signaturedatabase. ClamAV met signatures van een week oud wekt de schijn van bescherming en niets meer.

AIDE maakt een cryptografische momentopname van het bestandssysteem en meldt wat er sinds de vorige controle is veranderd — het beantwoordt de vraag waar andere tools omheen draaien: wat hebben ze aangeraakt. Het paneel toont drie lijsten: toegevoegde, gewijzigde en verwijderde bestanden, samen met afwijkende attributen. Het vaakst voorkomende ochtendrapport komt door nachtelijke pakketupdates — vergelijk de tijd en herbouw de database.

De audit-daemon registreert precies de gebeurtenissen waarom is gevraagd: wijzigingen in /etc/passwd en /etc/shadow, aanpassingen aan sshd_config, het uitvoeren van binaries voor privilege-escalatie. Het paneel toont de nu geladen regels, de gevolgde paden en recente gebeurtenissen met proces en uitkomst. De regels zien is net zo belangrijk als de gebeurtenissen: een lege set is de meest voorkomende reden waarom auditd wel actief lijkt maar niets waardevols vastlegt.

UFW verlost u van de iptables-syntaxis, maar helpt niet om maanden later een set regels te doorgronden. Het paneel toont de regels met actie, poort, protocol en bron, en zet het standaardbeleid voor inkomend en uitgaand verkeer voorop — juist dat wordt meestal vergeten. Een streng ogende set regels betekent niets als het standaardbeleid op allow blijft staan.

Wie poorten afspeurt, laat geen enkele mislukte inlogpoging achter, waardoor Fail2ban hem niet ziet. PSAD dicht dat gat: het leest de firewall-registraties over verworpen verkeer en beoordeelt wat het aantreft. Het dashboard toont gemarkeerde adressen, een dreigingsniveau van 1 tot 5, het aantal pakketten en de poorten. Zonder logregel in de firewall zwijgt PSAD — en dat is de gebruikelijke oorzaak van een lege pagina na installatie.

Automatische verlenging heeft het grootste deel van het probleem opgelost en er een stillere versie van gemaakt: certificaten verlengen zichzelf — tot de dag waarop dat niet meer gebeurt, en de bezoeker is de eerste die het merkt. Het dashboard toont de certificaten die de server aanbiedt: uitgever, vervaldatum, resterende dagen. Minder dan dertig dagen bij een certificaat met automatische verlenging betekent dat de verlenging al enige tijd stilletjes mislukt.

De kaart toont de adressen die uw eigen server heeft geblokkeerd, herleid tot landen en geschaald naar het aantal treffers. Dit is geen elders ingekochte stroom dreigingsgegevens: elk punt is verkeer dat deze machine daadwerkelijk heeft bereikt. De kaart wordt pas over langere tijd nuttig: een concentratie vanuit één netwerk duidt meestal op één enkele actor die een lijst afwerkt, terwijl een gelijkmatige spreiding gewone internetruis is.

Logwatch bundelt de logs van een etmaal in één rapport en verstuurt dat per e-mail — waar het na een paar weken belandt in een map waar niemand ooit kijkt. Het probleem was nooit de informatie, maar de bezorging. Het dashboard bewaart de rapporten op de server en toont ze per pagina, met een archief van eerdere dagen: één dag vertelt wat er gebeurde, een week wat er veranderde.

Monit bewaakt processen, bestanden, bestandssystemen en hosts, en herstart wat het defect aantreft. Het paneel toont elke controle met de huidige status, het bewaakte object en het aantal interventies. De herstartteller is het eerlijkste veld: een service die veertig keer is herstart, is niet gezond — hij valt keer op keer uit, en de herstarts verhullen dat.

Meld u aan bij het dashboard met een hardwaresleutel, Touch ID of Face ID in plaats van een tweede wachtwoord. De sleutel bevestigt het domein op protocolniveau, dus een kopie van de inlogpagina op een vergelijkbaar adres werkt niet — phishing heeft niets om te onderscheppen. U kunt meerdere sleutels aanmaken, elk met een eigen naam en tijdstip van laatste gebruik, en elke sleutel afzonderlijk intrekken.

Wat op deze machine van buitenaf bereikbaar is, is de nuttigste beveiligingsvraag, en de uitvoer van ss moet u elke keer met de hand doorlezen. De dashboard toont luisterende sockets met poort, protocol, bind-adres en proces, en daaronder de tot stand gebrachte verbindingen. Lees eerst het bind-adres: een service op 127.0.0.1 is alleen vanaf de machine zelf bereikbaar, dezelfde service op 0.0.0.0 is bereikbaar voor het hele internet.

Top geeft antwoord over de huidige seconde, terwijl de vraag meestal over de afgelopen nacht gaat. De collector schrijft elke vijf minuten een regel bij in de database, en de pagina tekent daaruit de laatste 24 uur: load average, CPU en I/O wait apart, geheugen en swap, netwerk, schijf, TCP-verbindingen, bestandsdescriptors. Grafieken kunt u het best in paren lezen: een hoge I/O wait bij een rustige CPU betekent dat de server op de schijf wacht, en dan heeft het toevoegen van processorkernen geen zin.

Er zijn twee soorten schijfproblemen, en ze lijken totaal niet op elkaar: een opslagmedium dat begint te falen, en een bestandssysteem dat volloopt en de services meesleurt. Het paneel dekt beide af — bezetting van partities, SMART-attributen en temperatuur. Falen wordt aangekondigd door drie attributen: hertoegewezen sectoren, sectoren in afwachting en offline niet-herstelbare sectoren. Inodes worden apart weergegeven — die raken eerder op dan de vrije ruimte en verklaren waarom schrijfacties mislukken op een schijf die nog vrije ruimte heeft.

Verplichte toegangscontrole bepaalt wat een programma mag doen, onafhankelijk van de rechten van de gebruiker die het startte. AppArmor staat op de meeste Ubuntu- en Debian-servers en beperkt op heel veel ervan bijna niets. Het paneel toont de geladen profielen met hun modus, de processen onder beperking en — de interessantere helft — de processen zonder enig profiel. Een profiel in de complain-modus registreert alleen wat het zou blokkeren; alleen enforce beperkt daadwerkelijk.