Zaštitite svoj server. Svi napadi i izmene na jednoj kontrolnoj tabli.

Fail2ban čita logove servisa i banuje adrese koje ne prođu autentifikaciju. Kontrolna tabla prikazuje sve jailove na jednom ekranu: koliko je adresa trenutno blokirano, koliko od pokretanja servisa i koji ih je jail uhvatio. Jail koji nije uhvatio baš ništa vidi se jednako jasno kao i onaj koji radi — najčešće to znači da čita pogrešan fajl loga.

IPSUM — dnevno ažurirana lista adresa uočenih u napadima na tuđe servere. Ipset je drži u memoriji jezgra, pa provera stotina hiljada adresa ne opterećuje zaštitni zid. Kontrolna tabla prikazuje veličinu liste i vreme poslednjeg ažuriranja: to je zaštita pre prvog pokušaja — adresa se odseca pre nego što stigne do servisa.

Lynis pokreće stotine provera konfiguracije i prikazuje hardening index — ocenu od 100. Kontrolna tabla raščlanjuje izveštaj i prikazuje upozorenja i preporuke zajedno s identifikatorom testa, kako biste mogli da vidite šta svaka od njih znači. 100 od 100 nije cilj: deo preporuka je napisan za scenarije kojih na vašem serveru nema.

ModSecurity sa skupom pravila OWASP CRS filtrira HTTP zahteve unutar veb-servera — već nakon dešifrovanja, tamo gde je sadržaj zahteva vidljiv. Kontrolna tabla čita dnevnik audita: koji zahtev je blokiran, koje pravilo se aktiviralo, kolika je bila ocena anomalije i odakle je zahtev stigao. Ovde se gleda pre svega zbog lažnih detekcija: isto pravilo koje iznova hvata baš vašu formu.

Suricata analizira mrežni saobraćaj po potpisima i beleži nalaze u eve.json. Kontrolna tabla čita ovaj fajl direktno na serveru i prikazuje obaveštenja za poslednja 24 sata, grupisana po kategorijama — bez Elasticsearch-a i Kibane, koji na jednom VPS-u zauzimaju više od nadgledane mašine. Sveža instalacija ćuti dok bar jednom ne odradi suricata-update: pravila u njoj još nema.

CrowdSec analizira logove po scenarijima i donosi odluke o blokiranju, oslanjajući se i na adrese koje su prijavili drugi učesnici mreže — napadač često dolazi već poznat. Kontrolna tabla prikazuje aktivne odluke sa scenarijem i preostalim vremenom, a pored njih registrovane bouncer-e koji te odluke sprovode. Ako je druga lista prazna, CrowdSec samo obaveštava i ništa ne blokira.

Falco prati sistemske pozive i podiže obaveštenje kada proces radi ono što ga se ne tiče: pokreće ljusku iz veb-servera, piše u direktorijum sistemskih binarnih datoteka, otvara neočekivanu odlaznu vezu. Kontrolna tabla prikazuje obaveštenja sa prioritetom, pravilom koje se aktiviralo i komandnom linijom procesa. Kubernetes za to nije potreban — na običnom serveru Falco radi na isti način.

Antivirus na Linuxu ne štiti svoje binarne datoteke, već ono što na server stiže spolja: veb-šelove kroz formu za otpremanje, priloge preko poštanskog servera, korisne podatke u privremenim direktorijumima. Kontrolna tabla prikazuje vreme poslednje provere, šta je pronašla i — najvažnije polje — starost baze potpisa. ClamAV s nedeljnim potpisima stvara privid zaštite i ništa više od toga.

AIDE pravi kriptografski otisak sistema fajlova i prijavljuje šta se promenilo od poslednje provere — odgovara na pitanje koje ostali alati izbegavaju: čega su se dotakli. Kontrolna tabla prikazuje tri liste: dodate, izmenjene i obrisane fajlove zajedno sa neusklađenim atributima. Najčešći jutarnji izveštaj objašnjava se noćnim ažuriranjima paketa — proverite vreme i ponovo izgradite bazu.

Demon audita beleži tačno one događaje koje ste zatražili: izmene fajlova /etc/passwd i /etc/shadow, izmene sshd_config, pokretanje binarnih datoteka za eskalaciju privilegija. Kontrolna tabla prikazuje pravila trenutno učitana, praćene putanje i najnovije događaje s procesom i ishodom. Videti pravila važno je koliko i događaje: prazan skup najčešći je razlog zbog kog auditd izgleda kao da radi, a ne beleži ništa vredno.

UFW vas oslobađa sintakse iptables, ali vam ne pomaže da mesecima kasnije razumete skup pravila. Kontrolna tabla prikazuje pravila s akcijom, portom, protokolom i izvorom, a u prvi plan stavlja podrazumevane politike za dolazni i odlazni saobraćaj — upravo se na njih obično zaboravlja. Skup pravila koji izgleda strogo ne znači ništa ako je podrazumevana politika ostala na allow.

Onaj ko pretražuje portove ne ostavlja nijedan neuspeo pokušaj prijave, pa ga Fail2ban ne vidi. PSAD popunjava tu prazninu: čita zapise zaštitnog zida o odbačenom saobraćaju i procenjuje pronađeno. Kontrolna tabla prikazuje označene adrese, nivo opasnosti od 1 do 5, broj paketa i portove. Bez pravila za beleženje u zaštitnom zidu PSAD ćuti — to je i uobičajen razlog prazne stranice nakon instalacije.

Automatsko obnavljanje rešilo je veći deo problema i stvorilo njegovu tišu verziju: sertifikati se sami obnavljaju — sve do dana kada to prestanu, a prvi to sazna posetilac. Kontrolna tabla navodi sertifikate koje server servira: izdavaoca, datum isteka, preostale dane. Manje od trideset dana kod sertifikata sa automatskim obnavljanjem znači da obnavljanje već neko vreme tiho ne uspeva.

Mapa prikazuje adrese koje je blokirao vaš sopstveni server, razrešene do nivoa država i skalirane prema broju pogodaka. Ovo nije spolja kupljen tok podataka o pretnjama: svaka tačka je saobraćaj koji je stigao do ove mašine. Mapa postaje korisna tokom vremena: zgušnjavanje iz jedne mreže obično znači jednog izvršioca koji ide po listi, a ravnomerno rasipanje predstavlja uobičajeni internet šum.

Logwatch sažima dnevnike za 24 časa u jedan izveštaj i šalje ga mejlom — gde ovaj kroz par nedelja završi u fascikli u koju niko ne zaviruje. Problem nikada nije bila informacija, već isporuka. Kontrolna tabla čuva izveštaje na serveru i prikazuje ih po stranicama, sa arhivom prethodnih dana: jedan dan govori šta se dogodilo, a nedelja — šta se promenilo.

Monit prati procese, fajlove, fajl-sisteme i čvorove i ponovo pokreće ono što zatekne pokvareno. Kontrolna tabla prikazuje svaku proveru s trenutnim stanjem, objektom nadzora i brojem intervencija. Brojač ponovnih pokretanja je najiskrenije polje: usluga koja je pokrenuta četrdeset puta nije zdrava — ona pada iznova i iznova, a ponovna pokretanja to prikrivaju.

Prijava na kontrolnu tablu putem hardverskog ključa, Touch ID-a ili Face ID-a umesto druge lozinke. Ključ potvrđuje domen na nivou protokola, pa kopija stranice za prijavu na sličnoj adresi neće raditi — fišing nema šta da presretne. Možete dodati više ključeva, svaki sa sopstvenim imenom i vremenom poslednjeg korišćenja, i opozvati bilo koji od njih pojedinačno.

Šta je na ovoj mašini dostupno spolja najkorisnije je bezbednosno pitanje, a ispis komande ss svaki put morate iznova čitati očima. Kontrolna tabla prikazuje slušajuće sokete sa portom, protokolom, adresom povezivanja i procesom, a ispod — uspostavljene veze. Prvo treba pročitati adresu povezivanja: usluga na 127.0.0.1 dostupna je samo sa same mašine, dok je ista usluga na 0.0.0.0 dostupna celom internetu.

Top odgovara na pitanje o trenutnoj sekundi, a pitanje se obično odnosi na prošlu noć. Kolektor jednom u pet minuta dopisuje red u bazu, a stranica na osnovu njega iscrtava poslednja 24 sata: load average, CPU i I/O wait zasebno, memoriju i swap, mrežu, disk, TCP veze, deskriptore fajlova. Grafikone treba čitati u parovima: visok I/O wait uz miran CPU znači da server čeka disk, pa nema smisla dodavati procesorska jezgra.

Nevolja s diskovima je dvojaka i te dve nedaće ne liče jedna na drugu: uređaj koji počinje da otkazuje i sistem datoteka koji se popuni pa sa sobom povuče i servise. Kontrolna tabla pokriva obe — zauzeće particija, SMART atribute i temperaturu. Otkaz nagoveštavaju tri atributa: premešteni sektori, oni na čekanju i nepopravljivi u oflajn režimu. Posebno se prikazuju inode-ovi — oni se potroše pre slobodnog prostora i objašnjavaju upise koji ne prolaze na disku koji ima slobodnog mesta.

Obavezna kontrola pristupa (MAC) određuje šta je programu dozvoljeno, nezavisno od prava korisnika koji ga je pokrenuo. AppArmor je prisutan na većini Ubuntu i Debian servera, a na mnogima od njih gotovo ništa ne ograničava. Kontrolna tabla prikazuje učitane profile sa režimom, procese pod ograničenjem i — ovaj drugi deo je zanimljiviji — procese potpuno bez profila. Profil u režimu complain samo beleži šta bi blokirao; ograničava jedino enforce.