Звёздочка в sudoers почти всегда означает root
Почему звёздочка в правиле sudo шире, чем кажется, как литерал в середине команды перестаёт что-либо ограничивать и чем такие правила заменить. Разбор на настоящем векторе через fail2ban.
ЧитатьСтатьи о безопасности сервера
Разборы инструментов, которые уже стоят на вашем сервере: что они показывают, как читать их вывод и где обычно ошибаются.
Вход и доступ
4CrowdSec и Fail2ban: в чём разница и стоит ли держать оба
Локальный счётчик против общей репутации, почему после установки CrowdSec ничего не блокируется и что из этого уходит наружу.
ЧитатьДжейлы Fail2ban, которые действительно нужны
Что включить кроме sshd, какие значения bantime и maxretry осмысленны и почему на Debian 12 джейл sshd часто не ловит вообще ничего.
ЧитатьОтключить пароли в SSH и не потерять доступ
Ключи вместо паролей за десять минут: как проверить себя перед отключением, почему файл 90-hardening.conf проигрывает облачному и что делать с ssh.socket в Ubuntu 24.04.
ЧитатьСеть и фаервол
6Пятно на карте атак: что с ним делать на своём сервере
Готовые правила вместо блокировки страны: джейл на сканеры чужих админок, ограничение темпа, защита от самобана и правильный блок подсети. С командами проверки и с тем, что нельзя отрезать, чтобы не потерять платежи и индексацию.
ЧитатьSuricata на одном VPS: без ELK и без Kibana
Почему стандартный конфиг Suricata за двое суток съедает диск, что оставить в eve.json и как читать оповещения без стека из трёх сервисов.
ЧитатьЛожные срабатывания ModSecurity: что вайтлистить первым
Почему CRS блокирует свои же формы, как найти виноватое правило по логу и три способа сделать исключение, не отключая защиту целиком.
ЧитатьPSAD: как увидеть, что сервер сканируют
Сканирование портов не оставляет следов в логах приложений, поэтому Fail2ban его не видит. Как настроить PSAD и почему без логирования в UFW он не покажет ничего.
ЧитатьКакие порты не должны торчать наружу
Как прочитать вывод ss, чем 0.0.0.0 отличается от 127.0.0.1 и почему Redis без пароля на публичном адресе — это взлом в течение часа.
ЧитатьUFW: правила, которые ничего не закрывают
Порядок правил, IPv6 в обход фильтра, Docker, публикующий порты мимо UFW, и почему status active ещё не значит, что порт закрыт.
ЧитатьУкрепление системы
4Двенадцать проверок сервера, которые стоит делать раз в неделю
Состояние сервера меняется само: пакеты ждут обновления, сертификат подходит к концу, джейл перестал следить за SSH. Список того, что стоит смотреть регулярно, с командами — и чем он заканчивается, когда делать это руками надоедает.
ЧитатьAppArmor: enforce, complain и что значит unconfined
Профили ограничивают программу тем, что ей положено, и превращают взлом сайта в мелкую неприятность. Что включено по умолчанию и как добавить профиль, не сломав службу.
ЧитатьИндекс защищённости Lynis: с 60 до 85
Как читать отчёт Lynis, какие рекомендации дают реальный прирост, какие не относятся к VPS и почему 100 из 100 не бывает.
ЧитатьАвтообновления безопасности без сюрпризов
Как настроить unattended-upgrades, чтобы патчи ставились сами и ничего не падало ночью, и почему флаг reboot-required нельзя игнорировать.
ЧитатьПризнаки взлома
7Как понять, что VPS взломали
Признаки, по которым видно чужого на сервере, и порядок проверки: вход, изменённые файлы, исходящие соединения. Без паники и без переустановки с нуля.
ЧитатьГде чужой закрепляется на сервере: cron, таймеры, ключи
Восемь мест, из которых вредоносный код запускается снова после перезагрузки и удаления, и команды, которыми весь этот список проверяется за пять минут.
ЧитатьFalco на обычном VPS, без Kubernetes
Falco умеет следить за поведением процессов на простом сервере: оболочка, запущенная из PHP, чтение чужих ключей, майнер из /tmp. Что придётся отключить, чтобы не тонуть в шуме.
Читатьauditd: какие правила завести, чтобы потом было что читать
Из коробки auditd не пишет почти ничего полезного. Набор правил, который отвечает на вопросы после инцидента, и как читать результат без ausearch наизусть.
Читатьdebsums: проверка, что системные файлы не подменили
Готовый эталон целостности уже есть в каждом пакете Debian и Ubuntu. Как им пользоваться, почему часть находок законна и что покрытие проверки неполное.
ЧитатьAIDE: как заметить, что файл подменили
Настройка контроля целостности, при которой отчёт читают: что исключить из проверки, где держать базу и почему aide --update нельзя запускать не глядя.
ЧитатьАнтивирус на Linux-сервере: что он реально ловит
Зачем ClamAV на сервере без Windows, почему он не защищает от взлома, сколько памяти просит clamd и как сканировать загрузки, а не весь диск.
ЧитатьЗдоровье сервера
6Нагрузка сервера: load average, I/O wait и swap
Почему load average 8 бывает нормой, а 2 — аварией, чем занятый процессор отличается от ожидания диска и что означает swap, который однажды вырос и не вернулся к нулю.
ЧитатьСайт тормозит: что смотреть в MySQL и PostgreSQL
Порядок проверки базы, когда всё стало медленно: соединения, медленные запросы, размер буфера. Плюс две вещи, которые незаметно съедают диск.
ЧитатьСертификат истёк: почему автопродление ломается
Пять причин, по которым certbot перестаёт продлевать сертификат молча, и почему проверять надо не файл на диске, а то, что сервер реально отдаёт.
ЧитатьДиск полон, а место есть: inode, логи и SMART
Почему df показывает свободные гигабайты при ошибке «нет места», куда деваются удалённые, но не освобождённые файлы, и какие атрибуты SMART действительно предвещают отказ.
ЧитатьMonit: перезапуск упавшей службы и пределы этого подхода
Чем проверки Monit отличаются от Restart=always в systemd, как не устроить бесконечный цикл перезапусков и почему веб-интерфейс на порту 2812 нельзя открывать наружу.
ЧитатьLogwatch: ежедневный отчёт, который перестают читать
Как настроить уровень детализации, чтобы письмо помещалось на экран, какие разделы читать первыми и почему на Debian 12 раздел про SSH оказывается пустым.
ЧитатьНичего не найдено