Protejați-vă serverul. Toate atacurile și modificările într-un singur panou.

Fail2ban citește jurnalele serviciilor și banează adresele care nu trec autentificarea. Panoul afișează toate jail-urile pe un singur ecran: câte adrese sunt blocate acum, câte de la pornirea serviciului și care jail le-a prins. Un jail care nu a prins absolut nimic se vede la fel de clar ca unul funcțional — de cele mai multe ori asta înseamnă că citește un fișier de jurnal greșit.

IPSUM este o listă de adrese actualizată zilnic, surprinse în atacuri asupra serverelor altora. Ipset o păstrează în memoria nucleului, așa că verificarea a sute de mii de adrese nu solicită firewall-ul. Panoul afișează dimensiunea listei și data ultimei actualizări: este o protecție încă de la prima încercare — adresa este blocată înainte să ajungă la serviciu.

Lynis rulează sute de verificări de configurare și afișează un hardening index — un scor din 100. Panoul analizează raportul și afișează avertismentele și recomandările împreună cu identificatorul testului, ca să puteți vedea ce înseamnă fiecare. 100 din 100 nu este un obiectiv: o parte dintre recomandări sunt scrise pentru scenarii care nu există pe serverul dumneavoastră.

ModSecurity cu setul de reguli OWASP CRS filtrează cererile HTTP în interiorul serverului web — deja după decriptare, acolo unde conținutul cererii este vizibil. Panoul citește jurnalul de audit: ce cerere a fost blocată, ce regulă s-a declanșat, care a fost scorul de anomalie și de unde a venit cererea. Aici vă uitați mai ales pentru alarmele false: aceeași regulă care vă prinde iar și iar propriul formular.

Suricata analizează traficul de rețea după semnături și scrie rezultatele în eve.json. Panoul citește acest fișier direct pe server și afișează alertele din ultimele 24 de ore, grupate pe categorii, — fără Elasticsearch și Kibana, care pe un singur VPS ocupă mai mult decât mașina monitorizată. O instalare nouă rămâne tăcută până când suricata-update rulează cel puțin o dată: încă nu are reguli.

CrowdSec analizează jurnalele pe baza scenariilor și ia decizii de blocare bazându-se și pe adresele raportate de alți participanți la rețea — atacatorul vine adesea deja cunoscut. Panoul afișează deciziile active cu scenariul și timpul rămas, iar alături — bouncer-ele înregistrate care execută aceste decizii. Dacă a doua listă este goală, CrowdSec doar alertează și nu blochează nimic.

Falco monitorizează apelurile de sistem și declanșează o alertă atunci când un proces face ceva ce nu îl privește: pornește un shell din serverul web, scrie în directorul binarelor de sistem, deschide o conexiune de ieșire neașteptată. Panoul afișează alertele cu prioritatea, regula declanșată și linia de comandă a procesului. Kubernetes nu este necesar — pe un server obișnuit Falco funcționează la fel.

Antivirusul pe Linux nu-și protejează propriile binare, ci ceea ce ajunge pe server din exterior: web shell-uri prin formularul de încărcare, atașamente prin serverul de mail, payload-uri în directoarele temporare. Panoul afișează ora ultimei verificări, ce a găsit și — câmpul cel mai important — vechimea bazei de semnături. ClamAV cu semnături vechi de o săptămână creează iluzia protecției și nimic mai mult.

AIDE realizează o amprentă criptografică a sistemului de fișiere și raportează ce s-a schimbat de la ultima verificare — răspunzând la întrebarea pe care celelalte instrumente o ocolesc: ce au atins. Panoul afișează trei liste: fișiere adăugate, modificate și șterse, împreună cu atributele divergente. Cel mai frecvent raport de dimineață se explică prin actualizările de pachete din timpul nopții — verificați ora și reconstruiți baza.

Demonul de audit înregistrează exact evenimentele care i-au fost cerute: modificări ale /etc/passwd și /etc/shadow, editări ale sshd_config, rularea binarelor de escaladare a privilegiilor. Panoul afișează regulile încărcate chiar acum, căile monitorizate și evenimentele recente cu procesul și rezultatul lor. A vedea regulile este la fel de important ca a vedea evenimentele: un set gol este cea mai frecventă cauză pentru care auditd pare funcțional, dar nu înregistrează nimic util.

UFW vă scapă de sintaxa iptables, dar nu vă ajută să înțelegeți un set de reguli luni mai târziu. Panoul afișează regulile cu acțiune, port, protocol și sursă, iar în față scoate politicile implicite pentru traficul de intrare și de ieșire — tocmai de ele se uită de obicei. Un set de reguli riguros în aparență nu înseamnă nimic dacă politica implicită a rămas pe allow.

Cine scanează porturile nu lasă nicio încercare eșuată de conectare, așa că Fail2ban nu îl vede. PSAD acoperă această lipsă: citește înregistrările firewall-ului despre traficul respins și evaluează ce găsește. Panoul afișează adresele marcate, nivelul de pericol de la 1 la 5, numărul de pachete și porturile. Fără o regulă de jurnalizare în firewall, PSAD tace — aceasta este cauza obișnuită a unei pagini goale după instalare.

Reînnoirea automată a rezolvat cea mai mare parte a problemei și a creat o versiune mai discretă a ei: certificatele se reînnoiesc singure — până în ziua în care nu mai fac asta, iar primul care află este vizitatorul. Panoul enumeră certificatele oferite de server: emitentul, data expirării, zilele rămase. Mai puțin de treizeci de zile pentru un certificat cu reînnoire automată înseamnă că reînnoirea eșuează deja de ceva timp, în tăcere.

Harta afișează adresele blocate de propriul dumneavoastră server, rezolvate până la nivel de țară și scalate după numărul de accesări. Nu este un flux de date despre amenințări cumpărat din altă parte: fiecare punct este trafic care a ajuns la această mașină. Harta devine utilă pe termen lung: o aglomerare dintr-o singură rețea înseamnă de obicei un singur autor care parcurge o listă, iar o dispersie uniformă este zgomotul obișnuit al internetului.

Logwatch adună jurnalele pe 24 de ore într-un singur raport și îl trimite prin e-mail — unde ajunge, după câteva săptămâni, într-un folder în care nimeni nu se uită. Problema nu a fost niciodată informația, ci livrarea ei. Panoul păstrează rapoartele pe server și le afișează paginat, cu o arhivă a zilelor precedente: o zi arată ce s-a întâmplat, iar o săptămână — ce s-a schimbat.

Monit supraveghează procese, fișiere, sisteme de fișiere și noduri și repornește ceea ce găsește defect. Panoul afișează fiecare verificare cu starea curentă, obiectul monitorizat și numărul de intervenții. Contorul de reporniri este câmpul cel mai sincer: un serviciu repornit de patruzeci de ori nu este sănătos — cade iar și iar, iar repornirile doar maschează asta.

Autentificare în panou cu o cheie hardware, Touch ID sau Face ID în locul unei a doua parole. Cheia confirmă domeniul la nivel de protocol, așa că o copie a paginii de autentificare pe o adresă similară nu va funcționa — phishingul nu are ce intercepta. Puteți înregistra mai multe chei, fiecare cu numele său și ora ultimei utilizări, și puteți revoca oricare dintre ele separat.

Ce este accesibil din exterior pe această mașină este cea mai utilă întrebare de securitate, iar rezultatul ss trebuie recitit cu ochii de fiecare dată. Panoul afișează socket-urile care ascultă, cu port, protocol, adresă de legare și proces, iar mai jos — conexiunile stabilite. Prima dată ar trebui citită adresa de legare: un serviciu pe 127.0.0.1 este accesibil doar de pe mașina însăși, același serviciu pe 0.0.0.0 — pentru tot internetul.

Top răspunde la întrebarea despre secunda curentă, dar de obicei sunteți interesat de noaptea trecută. Colectorul adaugă o linie în baza de date o dată la cinci minute, iar pagina desenează pe baza ei ultimele 24 de ore: load average, CPU și I/O wait separat, memoria și swap-ul, rețeaua, discul, conexiunile TCP, descriptorii de fișiere. Graficele merită citite în perechi: un I/O wait ridicat la un CPU calm înseamnă că serverul așteaptă discul și adăugarea de nuclee de procesor nu are rost.

Necazurile cu discul sunt două și nu seamănă între ele: un dispozitiv de stocare care începe să cedeze și un sistem de fișiere care se umple și trage după el serviciile. Panoul le acoperă pe amândouă — gradul de ocupare al partițiilor, atributele SMART și temperatura. Cedarea este anunțată de trei atribute: sectoare realocate, în așteptare și necorectabile în offline. Separat sunt afișate inode-urile — se epuizează înaintea spațiului liber și explică scrierile care nu reușesc pe un disc cu spațiu liber.

Controlul obligatoriu al accesului decide ce îi este permis unui program, indiferent de drepturile utilizatorului care l-a pornit. AppArmor este prezent pe majoritatea serverelor Ubuntu și Debian, iar pe foarte multe dintre ele nu restricționează aproape nimic. Panoul afișează profilurile încărcate cu modul lor, procesele aflate sub restricție și — partea mai interesantă — procesele fără niciun profil. Un profil în modul complain doar înregistrează ce ar fi blocat; restricționează numai enforce.