Beskytt serveren din. Alle angrep og endringer i én panel.

Fail2ban leser tjenestenes logger og banner adresser som ikke består autentisering. Panelet viser alle jails på én skjerm: hvor mange adresser som er blokkert nå, hvor mange siden tjenesten startet, og hvilken jail som fanget dem. En jail som ikke har fanget noe som helst, vises like tydelig som en som fungerer – som oftest betyr det at den leser feil loggfil.

IPSUM – en daglig oppdatert liste over adresser observert i angrep mot andre servere. Ipset holder den i kjerneminnet, så kontroll av hundretusener av adresser belaster ikke brannmuren. Panelet viser listens størrelse og tidspunktet for siste oppdatering: dette er beskyttelse allerede før første forsøk – adressen blokkeres før den når tjenesten.

Lynis kjører hundrevis av konfigurasjonskontroller og gir en hardening index — en poengsum av 100. Panelet analyserer rapporten og viser advarsler og anbefalinger sammen med test-ID-en, slik at du kan se hva hver enkelt betyr. 100 av 100 er ikke målet: enkelte anbefalinger er skrevet for scenarioer som ikke finnes på serveren din.

ModSecurity med regelsettet OWASP CRS filtrerer HTTP-forespørsler inne i webserveren — etter dekryptering, der forespørselens innhold er synlig. Panelet leser revisjonsloggen: hvilken forespørsel som ble blokkert, hvilken regel som utløste, hva anomaliscoren var og hvor forespørselen kom fra. Man ser hit først og fremst for å avdekke falske positiver: den samme regelen som gang på gang fanger ditt eget skjema.

Suricata analyserer nettverkstrafikken etter signaturer og skriver funn til eve.json. Panelet leser denne filen direkte på serveren og viser varsler for det siste døgnet, gruppert etter kategori – uten Elasticsearch og Kibana, som på én VPS veier mer enn maskinen de overvåker. En fersk installasjon er taus helt til suricata-update har kjørt minst én gang: den har ennå ingen regler.

CrowdSec analyserer loggene etter scenarier og tar avgjørelser om blokkering, også basert på adresser som andre deltakere i nettverket har rapportert – angriperen er ofte allerede kjent. Panelet viser aktive avgjørelser med scenario og gjenstående tid, og ved siden av – de registrerte bouncerne som utfører disse avgjørelsene. Hvis den andre listen er tom, varsler CrowdSec bare og blokkerer ingenting.

Falco overvåker systemkall og utløser et varsel når en prosess gjør noe den ikke har noe med: starter et skall fra webserveren, skriver til katalogen for systembinærfiler eller åpner en uventet utgående tilkobling. Panelet viser varslene med prioritet, regelen som ble utløst, og prosessens kommandolinje. Kubernetes er ikke nødvendig – på en vanlig server fungerer Falco akkurat likt.

Antivirus på Linux beskytter ikke sine egne binærfiler, men det som havner på serveren utenfra: web-skjell via opplastingsskjemaer, vedlegg via e-postserveren, nyttelaster i midlertidige kataloger. Panelet viser tidspunktet for siste kontroll, hva den fant, og – det viktigste feltet – alderen på signaturdatabasen. ClamAV med ukegamle signaturer skaper en illusjon av beskyttelse og ingenting mer.

AIDE tar et kryptografisk avtrykk av filsystemet og forteller hva som er endret siden forrige kontroll – og svarer på spørsmålet de andre verktøyene unngår: hva de har rørt ved. Panelet viser tre lister: tilføyde, endrede og slettede filer sammen med avvikende attributter. Den vanligste morgenrapporten skyldes nattlige pakkeoppdateringer – sjekk tidspunktet og bygg databasen på nytt.

Revisjonsdemonen registrerer nøyaktig de hendelsene den er bedt om: endringer i /etc/passwd og /etc/shadow, redigering av sshd_config, kjøring av binærfiler for privilegieøkning. Panelet viser reglene som er lastet akkurat nå, overvåkede stier og ferske hendelser med prosess og resultat. Å se reglene er like viktig som hendelsene: et tomt sett er den vanligste grunnen til at auditd ser ut til å kjøre uten å registrere noe av verdi.

UFW fjerner behovet for iptables-syntaks, men hjelper deg ikke med å forstå regelsettet flere måneder senere. Panelet viser reglene med handling, port, protokoll og kilde, og fremhever standardpolicyene for inn- og utgående trafikk – nettopp disse blir gjerne glemt. Et strengt utseende regelsett betyr ingenting hvis standardpolicyen fremdeles står på allow.

Den som skanner porter, etterlater ingen mislykkede innloggingsforsøk, og derfor ser ikke Fail2ban ham. PSAD tetter dette hullet: den leser brannmurens oppføringer om forkastet trafikk og vurderer det den finner. Panelet viser merkede adresser, farenivå fra 1 til 5, antall pakker og porter. Uten en loggføringsregel i brannmuren tier PSAD – og det er nettopp den vanlige årsaken til en tom side etter installasjon.

Automatisk fornyelse løste mesteparten av problemet og skapte en stillere versjon av det: sertifikatene fornyer seg selv – helt til dagen de slutter, og den første som merker det, er den besøkende. Panelet lister opp sertifikatene serveren leverer: utsteder, utløpsdato, gjenstående dager. Mindre enn tretti dager på et sertifikat med automatisk fornyelse betyr at fornyelsen allerede en stund har sviktet i det stille.

Kartet plasserer adressene som din egen server har blokkert, oppløst til land og skalert etter antall treff. Dette er ikke en kjøpt trusseldatastrøm: hvert punkt er trafikk som har nådd denne maskinen. Kartet blir nyttig over tid: en fortetning fra ett nettverk betyr som regel én enkelt aktør som går gjennom en liste, mens en jevn spredning er vanlig internettstøy.

Logwatch samler døgnets logger i én rapport og sender den på e-post – der den etter et par uker havner i en mappe ingen ser på. Problemet var aldri informasjonen, men leveringen. Panelet holder rapportene på serveren og viser dem sidevis, med et arkiv over tidligere dager: én dag forteller hva som skjedde, en uke hva som endret seg.

Monit overvåker prosesser, filer, filsystemer og noder, og starter på nytt det som er ødelagt. Panelet viser hver kontroll med gjeldende tilstand, overvåket objekt og antall inngrep. Omstartstelleren er det mest ærlige feltet: en tjeneste som er startet på nytt førti ganger, er ikke frisk – den krasjer gang på gang, og omstartene skjuler det.

Innlogging på panelet med maskinvarenøkkel, Touch ID eller Face ID i stedet for et andre passord. Nøkkelen bekrefter domenet på protokollnivå, så en kopi av innloggingssiden på en lignende adresse fungerer ikke – phishing har ingenting å fange opp. Du kan opprette flere nøkler, hver med sitt eget navn og tidspunkt for siste bruk, og tilbakekalle hver enkelt av dem for seg.

Hva som er tilgjengelig utenfra på denne maskinen, er det mest nyttige sikkerhetsspørsmålet, og ss-utdataen må leses igjennom med øynene hver gang. Panelet viser lyttende sockets med port, protokoll, bindingsadresse og prosess, og under vises etablerte tilkoblinger. Bindingsadressen bør leses først: en tjeneste på 127.0.0.1 er bare tilgjengelig fra selve maskinen, mens den samme tjenesten på 0.0.0.0 er tilgjengelig for hele internett.

Top svarer på spørsmål om det nåværende sekundet, mens man vanligvis spør om natten som var. Kollektoren legger til en linje i databasen hvert femte minutt, og siden tegner det siste døgnet ut fra den: load average, CPU og I/O wait hver for seg, minne og swap, nettverk, disk, TCP-tilkoblinger, fildeskriptorer. Grafene bør leses parvis: høy I/O wait ved rolig CPU betyr at serveren venter på disken, og da er det meningsløst å legge til flere prosessorkjerner.

Det finnes to slags diskproblemer, og de likner ikke på hverandre: en lagringsenhet som begynner å svikte, og et filsystem som fylles opp og drar tjenestene med seg i fallet. Panelet dekker begge – partisjonsbruk, SMART-attributter og temperatur. Tre attributter varsler om svikt: omfordelte sektorer, ventende sektorer og korrigerbare feil i frakoblet tilstand. Inoder vises separat – de tar slutt før den ledige plassen og forklarer skrivinger som ikke går gjennom på en disk med ledig plass.

Obligatorisk tilgangskontroll avgjør hva et program har lov til, uavhengig av rettighetene til brukeren som startet det. AppArmor finnes på de fleste Ubuntu- og Debian-servere, og på svært mange begrenser det nesten ingenting. Panelet viser lastede profiler med modus, prosesser under begrensning og – den mer interessante halvparten – prosesser helt uten profil. En profil i complain-modus registrerer bare hva den ville ha blokkert; kun enforce begrenser noe.