Ochráňte svoj server. Všetky útoky a zmeny v jednom paneli.

Fail2ban číta logy služieb a zabanuje adresy, ktoré neprejdú autentifikáciou. Panel zobrazuje všetky jaily na jednej obrazovke: koľko adries je zablokovaných teraz, koľko od spustenia služby a ktorý jail ich zachytil. Jail, ktorý nezachytil vôbec nič, je viditeľný rovnako jasne ako ten fungujúci – najčastejšie to znamená, že číta nesprávny súbor logu.

IPSUM – zoznam adries, ktoré boli zaznamenané pri útokoch na cudzie servery a ktorý sa denne aktualizuje. Ipset ho drží v pamäti jadra, takže kontrola stotisícov adries firewall nezaťažuje. Panel zobrazuje veľkosť zoznamu a čas poslednej aktualizácie: je to ochrana ešte pred prvým pokusom – adresa sa odreže skôr, než sa dostane k službe.

Lynis vykoná stovky konfiguračných kontrol a zobrazí hardening index — hodnotenie zo 100. Panel spracuje správu a zobrazí upozornenia a odporúčania spolu s identifikátorom testu, aby ste videli, čo každé z nich znamená. 100 zo 100 nie je cieľom: časť odporúčaní je určená pre scenáre, ktoré na vašom serveri nie sú.

ModSecurity so sadou pravidiel OWASP CRS filtruje HTTP požiadavky vo vnútri webového servera — už po dešifrovaní, tam, kde je viditeľný obsah požiadavky. Panel číta auditný denník: ktorá požiadavka bola zablokovaná, ktoré pravidlo sa spustilo, aké bolo skóre anomálie a odkiaľ požiadavka prišla. Sem sa pozeráte predovšetkým kvôli falošným poplachom: to isté pravidlo, ktoré znova a znova zachytáva váš vlastný formulár.

Suricata analyzuje sieťovú prevádzku podľa signatúr a zaznamenáva nálezy do eve.json. Panel číta tento súbor priamo na serveri a zobrazuje upozornenia za posledných 24 hodín zoskupené podľa kategórií — bez Elasticsearch a Kibana, ktoré na jednom VPS zaberú viac než sledovaný stroj. Čerstvá inštalácia mlčí, kým aspoň raz nezbehne suricata-update: pravidlá v nej ešte nie sú.

CrowdSec analyzuje logy podľa scenárov a rozhoduje o blokovaní, pričom sa opiera aj o adresy nahlásené ostatnými účastníkmi siete — útočník často prichádza už ako známy. Panel zobrazuje platné rozhodnutia so scenárom a zostávajúcim časom a vedľa nich registrované bouncery, ktoré tieto rozhodnutia vykonávajú. Ak je druhý zoznam prázdny, CrowdSec len upozorňuje a nič neblokuje.

Falco sleduje systémové volania a vyvolá upozornenie, keď proces robí niečo, čo mu neprináleží: spustí shell z webového servera, zapisuje do adresára systémových binárok, otvorí neočakávané odchádzajúce spojenie. Panel zobrazuje upozornenia s prioritou, pravidlom, ktoré sa spustilo, a príkazovým riadkom procesu. Kubernetes na to nepotrebujete — na bežnom serveri Falco funguje rovnako.

Antivírus na Linuxe nechráni vlastné binárky, ale to, čo sa na server dostane zvonka: webové shelly cez formulár nahrávania, prílohy cez poštový server, škodlivé payloady v dočasných adresároch. Panel zobrazuje čas poslednej kontroly, čo našla a — najdôležitejšie pole — vek databázy signatúr. ClamAV s týždeň starými signatúrami vytvára len zdanie ochrany a nič viac.

AIDE vytvorí kryptografický odtlačok súborového systému a oznámi, čo sa od poslednej kontroly zmenilo — odpovedá na otázku, ktorej sa ostatné nástroje vyhýbajú: čoho sa dotkli. Panel zobrazuje tri zoznamy: pridané, zmenené a odstránené súbory spolu s rozdielnymi atribútmi. Najčastejší ranný report vysvetľujú nočné aktualizácie balíkov — overte čas a znova zostavte databázu.

Démon auditu zaznamenáva presne tie udalosti, o ktoré ste ho požiadali: zmeny /etc/passwd a /etc/shadow, úpravy sshd_config, spustenie binárok na eskaláciu privilégií. Panel zobrazuje práve načítané pravidlá, sledované cesty a najnovšie udalosti s procesom a výsledkom. Vidieť pravidlá je rovnako dôležité ako udalosti: prázdna sada je najčastejšou príčinou, prečo auditd vyzerá funkčne, no nezaznamenáva nič hodnotné.

UFW vás zbaví syntaxe iptables, no o pár mesiacov neskôr vám s pochopením súboru pravidiel nepomôže. Panel zobrazuje pravidlá s akciou, portom, protokolom a zdrojom, pričom do popredia dáva predvolené politiky pre prichádzajúcu a odchádzajúcu prevádzku — práve na tie sa obvykle zabúda. Prísne vyzerajúci súbor pravidiel neznamená nič, ak predvolená politika zostala na allow.

Ten, kto prehľadáva porty, nezanechá jediný neúspešný pokus o prihlásenie, takže ho Fail2ban nevidí. PSAD túto medzeru zapĺňa: číta záznamy firewallu o zahodenej prevádzke a vyhodnocuje nájdené. Panel zobrazuje označené adresy, úroveň nebezpečenstva od 1 do 5, počet paketov a porty. Bez pravidla na logovanie vo firewalle PSAD mlčí – a to je bežná príčina prázdnej stránky po inštalácii.

Automatické obnovovanie vyriešilo väčšiu časť problému a vytvorilo jeho tichšiu verziu: certifikáty sa obnovujú samy — až do dňa, keď prestanú, a prvý sa to dozvie návštevník. Panel vypisuje certifikáty, ktoré server odovzdáva: vydavateľa, dátum vypršania, zostávajúce dni. Menej ako tridsať dní pri certifikáte s automatickým obnovovaním znamená, že obnovenie už nejaký čas potichu nefunguje.

Mapa zobrazuje adresy, ktoré zablokoval váš vlastný server, priradené ku krajinám a naškálované podľa počtu zásahov. Nejde o kúpený tok dát o hrozbách: každý bod je prevádzka, ktorá dorazila na tento stroj. Užitočnou sa mapa stáva časom: zhustenie z jednej siete zvyčajne znamená jediného aktéra prechádzajúceho zoznamom, kým rovnomerný rozptyl je bežný internetový šum.

Logwatch zhrnie logy za deň do jedného reportu a pošle ho e-mailom — kde po pár týždňoch skončí v priečinku, do ktorého nikto nenazerá. Problémom nikdy nebola informácia, ale jej doručenie. Panel drží reporty na serveri a zobrazuje ich po stránkach, s archívom predchádzajúcich dní: jeden deň povie, čo sa stalo, a týždeň, čo sa zmenilo.

Monit sleduje procesy, súbory, súborové systémy a uzly a reštartuje to, čo nájde poškodené. Panel zobrazuje každú kontrolu s aktuálnym stavom, sledovaným objektom a počtom zásahov. Počítadlo reštartov je najúprimnejšie pole: služba reštartovaná štyridsaťkrát nie je zdravá – padá znova a znova a reštarty to len zakrývajú.

Prihlásenie do panela pomocou hardvérového kľúča, Touch ID alebo Face ID namiesto druhého hesla. Kľúč overuje doménu na úrovni protokolu, takže kópia prihlasovacej stránky na podobnej adrese nezaberie — phishing nemá čo zachytiť. Kľúčov si môžete vytvoriť viacero, každý s vlastným názvom a časom posledného použitia, a ktorýkoľvek z nich samostatne odvolať.

Čo je na tomto stroji dostupné zvonka, je najužitočnejšia bezpečnostná otázka a výstup ss musíte zakaždým prechádzať očami. Panel zobrazuje počúvajúce sokety s portom, protokolom, adresou väzby a procesom a nižšie nadviazané spojenia. Ako prvú si oplatí prečítať adresu väzby: služba na 127.0.0.1 je dostupná len z tohto stroja, tá istá služba na 0.0.0.0 celému internetu.

Top odpovedá na otázku o aktuálnej sekunde, no spravidla sa pýtate na uplynulú noc. Kolektor každých päť minút pripíše do databázy riadok a stránka z neho vykreslí posledných 24 hodín: load average, CPU a I/O wait samostatne, pamäť a swap, sieť, disk, TCP-spojenia, súborové deskriptory. Grafy je vhodné čítať v pároch: vysoký I/O wait pri pokojnom CPU znamená, že server čaká na disk a pridávať procesorové jadrá nemá zmysel.

Diskové problémy sú dva a navzájom sa nepodobajú: úložisko, ktoré začína zlyhávať, a súborový systém, ktorý sa zapĺňa a strháva so sebou služby. Panel pokrýva oba — obsadenosť oddielov, atribúty SMART a teplotu. Zlyhanie predznamenávajú tri atribúty: prealokované sektory, čakajúce a neopraviteľné v offline režime. Samostatne sa zobrazujú inode — dochádzajú skôr než voľné miesto a vysvetľujú zápisy, ktoré neprejdú ani na disku s voľným miestom.

Mandátne riadenie prístupu určuje, čo je programu povolené, nezávisle od práv používateľa, ktorý ho spustil. AppArmor je nainštalovaný na väčšine serverov Ubuntu a Debian a na mnohých z nich neobmedzuje takmer nič. Panel zobrazuje načítané profily s ich režimom, procesy pod obmedzením a — zaujímavejšia polovica — procesy úplne bez profilu. Profil v režime complain len zaznamenáva, čo by zablokoval; obmedzuje iba enforce.