Ochroń swój serwer. Wszystkie ataki i zmiany w jednym panelu.

Fail2ban odczytuje logi usług i banuje adresy, które nie przechodzą uwierzytelniania. Panel pokazuje wszystkie jaile na jednym ekranie: ile adresów jest teraz zablokowanych, ile od chwili uruchomienia usługi oraz który jail je wychwycił. Jail, który nie wychwycił niczego, widać równie wyraźnie jak działający — najczęściej oznacza to, że odczytuje niewłaściwy plik logu.

IPSUM — codziennie aktualizowana lista adresów zauważonych podczas ataków na cudze serwery. Ipset przechowuje ją w pamięci jądra, dzięki czemu sprawdzanie setek tysięcy adresów nie obciąża zapory. Panel pokazuje rozmiar listy i czas ostatniej aktualizacji: to ochrona jeszcze przed pierwszą próbą — adres jest odcinany, zanim dotrze do usługi.

Lynis wykonuje setki sprawdzeń konfiguracji i zwraca hardening index — ocenę w skali 100. Panel analizuje raport i pokazuje ostrzeżenia oraz zalecenia wraz z identyfikatorem testu, aby móc sprawdzić, co oznacza każde z nich. 100 na 100 nie jest celem: część zaleceń napisano pod scenariusze, których na serwerze Pana nie ma.

ModSecurity z zestawem reguł OWASP CRS filtruje żądania HTTP wewnątrz serwera WWW — już po odszyfrowaniu, tam, gdzie widać treść żądania. Panel odczytuje dziennik audytu: które żądanie zablokowano, która reguła zadziałała, jaka była ocena anomalii i skąd przyszło żądanie. Zaglądamy tu przede wszystkim ze względu na fałszywe alarmy: ta sama reguła raz za razem wyłapująca Pański własny formularz.

Suricata analizuje ruch sieciowy według sygnatur i zapisuje wykrycia w eve.json. Panel czyta ten plik bezpośrednio na serwerze i pokazuje alerty z ostatniej doby pogrupowane według kategorii — bez Elasticsearch i Kibana, które na jednym VPS zajmują więcej niż monitorowana maszyna. Świeża instalacja milczy, dopóki choć raz nie zadziała suricata-update: nie ma w niej jeszcze reguł.

CrowdSec analizuje dzienniki według scenariuszy i podejmuje decyzje o blokowaniu, opierając się także na adresach zgłoszonych przez innych uczestników sieci — atakujący często jest już znany. Panel pokazuje obowiązujące decyzje wraz ze scenariuszem i pozostałym czasem, a obok zarejestrowane bouncery, które te decyzje wykonują. Jeśli druga lista jest pusta, CrowdSec tylko powiadamia i niczego nie blokuje.

Falco monitoruje wywołania systemowe i generuje alert, gdy proces robi coś, co nie należy do jego zadań: uruchamia powłokę z serwera WWW, zapisuje dane w katalogu binariów systemowych czy otwiera nieoczekiwane połączenie wychodzące. Panel pokazuje alerty wraz z priorytetem, wyzwoloną regułą i wierszem poleceń procesu. Kubernetes nie jest do tego potrzebny — na zwykłym serwerze Falco działa tak samo.

Antywirus na Linuksie chroni nie własne pliki binarne, lecz to, co trafia na serwer z zewnątrz: web-shelle przez formularz przesyłania, załączniki przez serwer pocztowy, złośliwe payloady w katalogach tymczasowych. Panel pokazuje czas ostatniego sprawdzenia, co wykrył oraz — najważniejsze pole — wiek bazy sygnatur. ClamAV z tygodniowymi sygnaturami stwarza pozory ochrony i nic ponad to.

AIDE tworzy kryptograficzny odcisk systemu plików i informuje, co zmieniło się od ostatniego sprawdzenia — odpowiada na pytanie, którego unikają pozostałe narzędzia: czego dotknęły. Panel pokazuje trzy listy: pliki dodane, zmienione i usunięte wraz z rozbieżnymi atrybutami. Najczęstszy poranny raport wynika z nocnych aktualizacji pakietów — proszę porównać czas i przebudować bazę.

Demon audytu rejestruje dokładnie te zdarzenia, o które go poproszono: zmiany w /etc/passwd i /etc/shadow, edycje sshd_config, uruchamianie plików binarnych podnoszących uprawnienia. Panel pokazuje reguły załadowane w tej chwili, monitorowane ścieżki oraz najnowsze zdarzenia z procesem i wynikiem. Widok reguł jest równie ważny jak zdarzeń: pusty zestaw to najczęstsza przyczyna, dla której auditd sprawia wrażenie działającego, a nie zapisuje niczego wartościowego.

UFW eliminuje konieczność posługiwania się składnią iptables, ale nie pomaga rozeznać się w zestawie reguł po wielu miesiącach. Panel pokazuje reguły wraz z akcją, portem, protokołem i źródłem, a na pierwszy plan wysuwa domyślne polityki dla ruchu przychodzącego i wychodzącego — bo to właśnie o nich zwykle się zapomina. Rygorystyczny z pozoru zestaw reguł nic nie znaczy, jeśli polityka domyślna pozostała na allow.

Ktoś, kto skanuje porty, nie pozostawia żadnej nieudanej próby logowania, dlatego Fail2ban go nie widzi. PSAD wypełnia tę lukę: odczytuje wpisy zapory o odrzuconym ruchu i ocenia znalezione dane. Panel pokazuje oznaczone adresy, poziom zagrożenia od 1 do 5, liczbę pakietów oraz porty. Bez reguły rejestrowania w zaporze PSAD milczy — i to właśnie jest typowa przyczyna pustej strony po instalacji.

Automatyczne odnawianie rozwiązało większość problemu i stworzyło jego cichszą wersję: certyfikaty odnawiają się same — aż do dnia, w którym przestają, a pierwszy dowiaduje się o tym odwiedzający. Panel wymienia certyfikaty zwracane przez serwer: wystawcę, datę wygaśnięcia, liczbę pozostałych dni. Mniej niż trzydzieści dni w certyfikacie z automatycznym odnawianiem oznacza, że odnawianie od jakiegoś czasu po cichu nie działa.

Mapa nanosi adresy zablokowane przez własny serwer Pana/Pani, rozdzielone na kraje i przeskalowane według liczby trafień. To nie kupiony z zewnątrz strumień danych o zagrożeniach: każdy punkt to ruch, który dotarł do tej maszyny. Mapa staje się przydatna z czasem: zagęszczenie z jednej sieci zwykle oznacza pojedynczego sprawcę przechodzącego po liście, a równomierne rozproszenie to zwykły szum internetowy.

Logwatch zbiera dzienniki z całej doby w jeden raport i wysyła go e-mailem — gdzie po kilku tygodniach ląduje w folderze, do którego nikt nie zagląda. Problemem nigdy nie była informacja, lecz jej dostarczanie. Panel przechowuje raporty na serwerze i wyświetla je stronami, z archiwum poprzednich dni: jeden dzień mówi, co się stało, a tydzień — co się zmieniło.

Monit monitoruje procesy, pliki, systemy plików i węzły, a następnie restartuje to, co uzna za uszkodzone. Panel pokazuje każde sprawdzenie z bieżącym stanem, monitorowanym obiektem i liczbą interwencji. Licznik restartów to najbardziej wymowne pole: usługa zrestartowana czterdzieści razy nie jest zdrowa — raz za razem ulega awarii, a restarty jedynie to maskują.

Logowanie do panelu za pomocą klucza sprzętowego, Touch ID lub Face ID zamiast drugiego hasła. Klucz potwierdza domenę na poziomie protokołu, więc kopia strony logowania pod podobnym adresem nie zadziała — phishing nie ma czego przechwycić. Można dodać kilka kluczy, każdy z własną nazwą i czasem ostatniego użycia, a każdy z nich odwołać osobno.

Co na tej maszynie jest osiągalne z zewnątrz — to najważniejsze pytanie o bezpieczeństwo, a wynik ss trzeba za każdym razem przeglądać wzrokiem. Panel pokazuje nasłuchujące gniazda z portem, protokołem, adresem powiązania i procesem, a poniżej — nawiązane połączenia. Najpierw warto przeczytać adres powiązania: usługa na 127.0.0.1 jest dostępna tylko z samej maszyny, a ta sama usługa na 0.0.0.0 — dla całego internetu.

Top odpowiada na pytanie o bieżącą sekundę, a pytania zwykle dotyczą minionej nocy. Kolektor co pięć minut dopisuje wiersz do bazy, a strona rysuje na jego podstawie ostatnią dobę: load average, CPU oraz I/O wait osobno, pamięć i swap, sieć, dysk, połączenia TCP, deskryptory plików. Wykresy warto czytać parami: wysoki I/O wait przy spokojnym CPU oznacza, że serwer czeka na dysk i dokładanie rdzeni procesora nie ma sensu.

Problemy z dyskiem są dwa i wcale nie są do siebie podobne: nośnik, który zaczyna odmawiać posłuszeństwa, oraz system plików, który się zapełnia i pociąga za sobą usługi. Panel obejmuje oba — zajętość partycji, atrybuty SMART i temperaturę. Awarię zwiastują trzy atrybuty: sektory przeniesione, oczekujące oraz nienaprawialne w trybie offline. Osobno pokazywane są i-węzły — kończą się szybciej niż wolne miejsce i wyjaśniają, dlaczego zapis nie udaje się mimo wolnej przestrzeni na dysku.

Obowiązkowa kontrola dostępu decyduje o tym, co program może robić, niezależnie od uprawnień użytkownika, który go uruchomił. AppArmor działa na większości serwerów Ubuntu i Debian, a na bardzo wielu z nich niemal niczego nie ogranicza. Panel pokazuje załadowane profile wraz z trybem, procesy objęte ograniczeniami oraz — co ciekawsze — procesy zupełnie bez profilu. Profil w trybie complain jedynie zapisuje, co zablokowałby; ograniczenia egzekwuje tylko tryb enforce.