Skydda din server. Alla attacker och ändringar i en enda panel.

Fail2ban läser tjänsternas loggar och bannlyser adresser som inte klarar autentiseringen. Panelen visar alla jails på en enda skärm: hur många adresser som är blockerade just nu, hur många sedan tjänsten startades och vilken jail som fångade dem. En jail som inte har fångat något alls syns lika tydligt som en som fungerar – oftast betyder det att den läser fel loggfil.

IPsum — en daglig uppdaterad lista över adresser som setts angripa andra servrar. Ipset håller den i kärnans minne, så att kontrollera hundratusentals adresser belastar inte brandväggen. Panelen visar listans storlek och tidpunkten för senaste uppdatering: det är skydd redan före första försöket — adressen stängs ute innan den når tjänsten.

Lynis kör hundratals konfigurationskontroller och ger ett hardening index — ett betyg av 100. Panelen tolkar rapporten och visar varningar och rekommendationer tillsammans med test-ID, så att du kan se vad var och en betyder. 100 av 100 är inte målet: en del rekommendationer är skrivna för scenarier som inte finns på din server.

ModSecurity med regeluppsättningen OWASP CRS filtrerar HTTP-förfrågningar inuti webbservern – efter dekrypteringen, där förfrågans innehåll är synligt. Panelen läser granskningsloggen: vilken förfrågan som blockerades, vilken regel som utlöstes, vilket anomalivärde som gällde och varifrån förfrågan kom. Man tittar här främst för falska larm: samma regel som gång på gång fångar ditt eget formulär.

Suricata analyserar nätverkstrafiken mot signaturer och skriver träffar till eve.json. Panelen läser filen direkt på servern och visar aviseringar för det senaste dygnet, grupperade efter kategori – utan Elasticsearch och Kibana, som på en enda VPS väger mer än maskinen de övervakar. En nyinstallation är tyst tills suricata-update har körts minst en gång: den innehåller ännu inga regler.

CrowdSec analyserar loggar enligt scenarier och fattar blockeringsbeslut, delvis baserat på adresser som rapporterats av andra nätverksdeltagare – angriparen är ofta redan känd. Panelen visar aktiva beslut med scenario och återstående tid, och bredvid dem de registrerade bouncers som verkställer besluten. Om den andra listan är tom aviserar CrowdSec bara och blockerar ingenting.

Falco övervakar systemanrop och utlöser en avisering när en process gör något som inte angår den: startar ett skal från webbservern, skriver till katalogen med systembinärer eller öppnar en oväntad utgående anslutning. Panelen visar aviseringar med prioritet, utlöst regel och processens kommandorad. Kubernetes behövs inte – på en vanlig server fungerar Falco likadant.

Ett antivirus på Linux skyddar inte sina egna binärer, utan det som når servern utifrån: webbskal via uppladdningsformulär, bilagor via e-postservern, nyttolaster i temporära kataloger. Panelen visar tiden för senaste kontroll, vad den hittade och – det viktigaste fältet – signaturdatabasens ålder. ClamAV med en vecka gamla signaturer skapar ett sken av skydd och inget mer.

AIDE tar ett kryptografiskt avtryck av filsystemet och rapporterar vad som ändrats sedan förra kontrollen – och svarar på frågan som andra verktyg undviker: vad de rörde vid. Panelen visar tre listor: tillagda, ändrade och borttagna filer tillsammans med avvikande attribut. Den vanligaste morgonrapporten beror på nattliga paketuppdateringar – jämför tiden och bygg om databasen.

Granskningsdemonen loggar exakt de händelser den ombetts att bevaka: ändringar i /etc/passwd och /etc/shadow, redigeringar av sshd_config, körning av binärer för behörighetshöjning. Panelen visar de regler som är laddade just nu, de sökvägar som bevakas och färska händelser med process och utfall. Att se reglerna är minst lika viktigt som händelserna: en tom uppsättning är den vanligaste orsaken till att auditd ser ut att fungera men inte loggar något av värde.

UFW slipper dig ifrån iptables-syntaxen, men hjälper inte att reda ut en regeluppsättning månader senare. Panelen visar reglerna med åtgärd, port, protokoll och källa, och lyfter fram standardpolicyn för inkommande och utgående trafik – det är oftast just den man glömmer. En regeluppsättning som ser strikt ut betyder ingenting om standardpolicyn förblir allow.

Den som skannar av portar lämnar inga misslyckade inloggningsförsök, så Fail2ban ser honom inte. PSAD täpper till denna lucka: den läser brandväggens poster om avvisad trafik och bedömer fynden. Panelen visar flaggade adresser, farograd från 1 till 5, antal paket och portar. Utan en loggningsregel i brandväggen är PSAD tyst – det är den vanliga orsaken till en tom sida efter installationen.

Automatisk förnyelse löste det mesta av problemet och skapade en tystare variant av det: certifikat förnyar sig själva – ända till den dag de slutar, och den första som märker det är besökaren. Panelen listar certifikaten som servern levererar: utfärdare, utgångsdatum, återstående dagar. Mindre än trettio dagar på ett certifikat med automatisk förnyelse betyder att förnyelsen redan en tid har misslyckats i det tysta.

Kartan visar adresser som din egen server har blockerat, upplösta till länder och skalade efter antal träffar. Det är inget inköpt hotdataflöde: varje punkt är trafik som faktiskt nått den här maskinen. Kartan blir användbar över tid – en anhopning från ett och samma nät betyder oftast en enda aktör som betar av en lista, medan en jämn spridning är vanligt internetbrus.

Logwatch samlar dygnets loggar i en enda rapport och skickar den via e-post – där den efter ett par veckor hamnar i en mapp som ingen tittar i. Problemet var aldrig informationen, utan leveransen. Panelen behåller rapporterna på servern och visar dem sidvis, med ett arkiv över tidigare dagar: en dag berättar vad som hände, en vecka vad som förändrats.

Monit övervakar processer, filer, filsystem och noder och startar om det som hittas trasigt. Panelen visar varje kontroll med aktuellt tillstånd, övervakat objekt och antalet ingripanden. Räknaren för omstarter är det ärligaste fältet: en tjänst som startats om fyrtio gånger är inte frisk – den kraschar gång på gång, och omstarterna döljer det.

Inloggning till panelen med säkerhetsnyckel, Touch ID eller Face ID i stället för ett andra lösenord. Nyckeln bekräftar domänen på protokollnivå, så en kopia av inloggningssidan på en liknande adress fungerar inte – nätfiske har inget att fånga upp. Du kan lägga till flera nycklar, var och en med eget namn och tidpunkt för senaste användning, och återkalla vilken som helst av dem separat.

Vad som är åtkomligt utifrån på den här maskinen är den mest värdefulla säkerhetsfrågan, och ss-utdata måste läsas igenom manuellt varje gång. Panelen visar lyssnande socketar med port, protokoll, bindningsadress och process, och nedanför de etablerade anslutningarna. Läs bindningsadressen först: en tjänst på 127.0.0.1 är endast åtkomlig från maskinen själv, medan samma tjänst på 0.0.0.0 är öppen mot hela internet.

Top svarar på frågan om den aktuella sekunden, men man frågar oftast om natten som gått. Insamlaren lägger till en rad i databasen var femte minut, och sidan ritar det senaste dygnet utifrån den: load average, CPU och I/O wait separat, minne och swap, nätverk, disk, TCP-anslutningar, filbeskrivare. Graferna bör läsas parvis: högt I/O wait med lugn CPU betyder att servern väntar på disken, och att lägga till processorkärnor är meningslöst.

Diskproblem finns i två varianter, och de liknar inte varandra: en enhet som börjar fallera, och ett filsystem som fylls upp och drar med sig tjänsterna i fallet. Panelen täcker båda – partitionernas beläggning, SMART-attribut och temperatur. Ett haveri förebådas av tre attribut: omfördelade sektorer, väntande sektorer och sektorer som inte kan rättas offline. Separat visas inoder – de tar slut före det lediga utrymmet och förklarar skrivningar som misslyckas på en disk som ändå har ledigt utrymme.

Obligatorisk åtkomstkontroll avgör vad ett program får göra, oberoende av rättigheterna hos användaren som startade det. AppArmor finns på de flesta Ubuntu- och Debian-servrar, och på väldigt många begränsar det nästan ingenting. Panelen visar laddade profiler med läge, processer under begränsning och – den mer intressanta halvan – processer helt utan profil. En profil i läget complain registrerar bara vad den skulle ha blockerat; endast enforce begränsar.