Защитите свой сервер. Все атаки и изменения в одной панели.

Fail2ban читает журналы служб и банит адреса, которые не проходят аутентификацию. Панель показывает все джейлы одним экраном: сколько адресов заблокировано сейчас, сколько с момента запуска службы и какой джейл их поймал. Джейл, не поймавший вообще ничего, виден так же ясно, как работающий, — чаще всего это значит, что он читает не тот файл журнала.

IPSUM — ежедневно обновляемый список адресов, замеченных в атаках на чужие серверы. Ipset держит его в памяти ядра, поэтому проверка сотни тысяч адресов не нагружает файрвол. Панель показывает размер списка и время последнего обновления: это защита до первой попытки — адрес отсекается раньше, чем дойдёт до службы.

Lynis прогоняет сотни проверок конфигурации и выводит hardening index — оценку из 100. Панель разбирает отчёт и показывает предупреждения и рекомендации вместе с идентификатором теста, чтобы можно было посмотреть, что означает каждая. 100 из 100 не является целью: часть рекомендаций написана под сценарии, которых на вашем сервере нет.

ModSecurity с набором правил OWASP CRS фильтрует HTTP-запросы внутри веб-сервера — уже после расшифровки, там, где видно содержимое запроса. Панель читает журнал аудита: какой запрос заблокирован, какое правило сработало, какова была оценка аномалии и откуда пришёл запрос. Смотрят сюда прежде всего ради ложных срабатываний: одно и то же правило, раз за разом ловящее вашу же форму.

Suricata разбирает сетевой трафик по сигнатурам и пишет находки в eve.json. Панель читает этот файл прямо на сервере и показывает оповещения за сутки, сгруппированные по категориям, — без Elasticsearch и Kibana, которые на одном VPS весят больше наблюдаемой машины. Свежая установка молчит, пока хотя бы раз не отработает suricata-update: правил в ней ещё нет.

CrowdSec разбирает журналы по сценариям и принимает решения о блокировке, опираясь ещё и на адреса, о которых сообщили другие участники сети, — нападающий часто приходит уже известным. Панель показывает действующие решения со сценарием и остатком времени, а рядом — зарегистрированные bouncer-ы, которые эти решения исполняют. Если второй список пуст, CrowdSec только оповещает и ничего не блокирует.

Falco следит за системными вызовами и поднимает оповещение, когда процесс делает то, что его не касается: запускает оболочку из веб-сервера, пишет в каталог системных бинарников, открывает неожиданное исходящее соединение. Панель показывает оповещения с приоритетом, сработавшим правилом и командной строкой процесса. Kubernetes для этого не нужен — на обычном сервере Falco работает так же.

Антивирус на Linux защищает не свои бинарники, а то, что попадает на сервер извне: веб-шеллы через форму загрузки, вложения через почтовый сервер, полезные нагрузки во временных каталогах. Панель показывает время последней проверки, что она нашла и — важнейшее поле — возраст базы сигнатур. ClamAV с недельными сигнатурами создаёт видимость защиты и ничего сверх того.

AIDE снимает криптографический слепок файловой системы и сообщает, что изменилось с прошлой проверки, — отвечает на вопрос, от которого уклоняются остальные инструменты: к чему они прикасались. Панель показывает три списка: добавленные, изменённые и удалённые файлы вместе с расходящимися атрибутами. Самый частый утренний отчёт объясняется ночными обновлениями пакетов — сверьте время и перестройте базу.

Демон аудита записывает ровно те события, о которых его попросили: изменения /etc/passwd и /etc/shadow, правки sshd_config, запуск бинарников повышения привилегий. Панель показывает загруженные прямо сейчас правила, отслеживаемые пути и свежие события с процессом и исходом. Видеть правила важно не меньше, чем события: пустой набор — самая частая причина, по которой auditd выглядит работающим и не пишет ничего ценного.

UFW избавляет от синтаксиса iptables, но не помогает разобрать набор правил месяцы спустя. Панель показывает правила с действием, портом, протоколом и источником, а вперёд выносит политики по умолчанию для входящего и исходящего трафика — забывают обычно именно про них. Строгий на вид набор правил не значит ничего, если политика по умолчанию осталась на allow.

Тот, кто прочёсывает порты, не оставляет ни одной неудачной попытки входа, поэтому Fail2ban его не видит. PSAD закрывает этот пробел: он читает записи файрвола об отброшенном трафике и оценивает найденное. Панель показывает помеченные адреса, уровень опасности от 1 до 5, число пакетов и порты. Без правила журналирования в файрволе PSAD молчит — это и есть обычная причина пустой страницы после установки.

Автопродление решило бо́льшую часть проблемы и создало более тихую её версию: сертификаты продлевают себя сами — до дня, когда перестают, и первым об этом узнаёт посетитель. Панель перечисляет сертификаты, которые отдаёт сервер: издатель, дата истечения, остаток дней. Меньше тридцати дней у сертификата с автопродлением означает, что продление уже какое-то время тихо не срабатывает.

Карта наносит адреса, которые заблокировал ваш собственный сервер, разрешённые до стран и отмасштабированные по числу попаданий. Это не купленный на стороне поток данных об угрозах: каждая точка — трафик, дошедший до этой машины. Полезной карта становится на дистанции: сгущение из одной сети обычно означает единственного исполнителя, идущего по списку, а ровное рассеяние — обычный интернет-шум.

Logwatch сводит журналы за сутки в один отчёт и отправляет его почтой — где тот через пару недель оказывается в папке, куда никто не заглядывает. Проблемой никогда не была информация, ею была доставка. Панель держит отчёты на сервере и показывает их страницами, с архивом предыдущих дней: один день говорит, что случилось, а неделя — что изменилось.

Monit следит за процессами, файлами, файловыми системами и узлами и перезапускает то, что застал сломанным. Панель показывает каждую проверку с текущим состоянием, объектом наблюдения и числом вмешательств. Счётчик перезапусков — самое честное поле: служба, перезапущенная сорок раз, не здорова, она падает раз за разом, а перезапуски это прикрывают.

Вход в панель по аппаратному ключу, Touch ID или Face ID вместо второго пароля. Ключ подтверждает домен на уровне протокола, поэтому копия страницы входа на похожем адресе не сработает — фишингу нечего перехватывать. Ключей можно завести несколько, каждый со своим именем и временем последнего использования, и отозвать любой из них по отдельности.

Что на этой машине достижимо снаружи — самый полезный вопрос безопасности, и вывод ss приходится перечитывать глазами каждый раз. Панель показывает слушающие сокеты с портом, протоколом, адресом привязки и процессом, а ниже — установленные соединения. Читать первым стоит адрес привязки: служба на 127.0.0.1 доступна только с самой машины, та же служба на 0.0.0.0 — всему интернету.

Top отвечает на вопрос о текущей секунде, а спрашивают обычно о прошлой ночи. Коллектор раз в пять минут дописывает строку в базу, а страница рисует по ней последние сутки: load average, CPU и I/O wait отдельно, память и swap, сеть, диск, TCP-соединения, файловые дескрипторы. Читать графики стоит парами: высокий I/O wait при спокойном CPU означает, что сервер ждёт диск, и процессорных ядер добавлять бессмысленно.

Дисковых бед две, и они не похожи друг на друга: накопитель, который начинает отказывать, и файловая система, которая заполняется и утаскивает за собой службы. Панель покрывает обе — занятость разделов, атрибуты SMART и температуру. Отказ предвещают три атрибута: переназначенные секторы, ожидающие и неисправимые в офлайне. Отдельно показаны inode — они кончаются раньше свободного места и объясняют записи, которые не проходят на диске со свободным местом.

Мандатный контроль доступа решает, что программе позволено, независимо от прав пользователя, который её запустил. AppArmor стоит на большинстве серверов Ubuntu и Debian и на очень многих не ограничивает почти ничего. Панель показывает загруженные профили с режимом, процессы под ограничением и — половина поинтереснее — процессы вовсе без профиля. Профиль в режиме complain только записывает, что заблокировал бы; ограничивает лишь enforce.