ปกป้องเซิร์ฟเวอร์ของคุณ ทุกการโจมตีและการเปลี่ยนแปลงในแดชบอร์ดเดียว

Fail2ban อ่านบันทึกของบริการและแบนที่อยู่ที่ยืนยันตัวตนไม่ผ่าน แดชบอร์ดแสดง jail ทั้งหมดในหน้าจอเดียว: มีที่อยู่ถูกบล็อกอยู่ตอนนี้กี่รายการ นับตั้งแต่เริ่มบริการกี่รายการ และ jail ใดเป็นตัวจับได้ jail ที่ไม่จับอะไรได้เลยจะเห็นชัดเท่ากับ jail ที่ทำงานอยู่ — ส่วนใหญ่มักหมายความว่ามันอ่านไฟล์บันทึกผิดไฟล์

IPSUM — รายการที่อยู่ IP ที่ถูกพบว่าโจมตีเซิร์ฟเวอร์อื่น อัปเดตทุกวัน Ipset เก็บรายการนี้ไว้ในหน่วยความจำเคอร์เนล การตรวจสอบที่อยู่นับแสนจึงไม่เพิ่มภาระให้ไฟร์วอลล์ แดชบอร์ดแสดงขนาดรายการและเวลาอัปเดตล่าสุด นี่คือการป้องกันก่อนการโจมตีครั้งแรก — ที่อยู่ถูกตัดออกก่อนจะไปถึงบริการ

Lynis รันการตรวจสอบการตั้งค่าหลายร้อยรายการและแสดง hardening index — คะแนนเต็ม 100 แดชบอร์ดจะแยกวิเคราะห์รายงานและแสดงคำเตือนและคำแนะนำพร้อมตัวระบุการทดสอบ เพื่อให้ดูได้ว่าแต่ละรายการหมายถึงอะไร คะแนน 100 เต็ม 100 ไม่ใช่เป้าหมาย เพราะคำแนะนำบางส่วนเขียนไว้สำหรับสถานการณ์ที่ไม่มีอยู่บนเซิร์ฟเวอร์ของคุณ

ModSecurity พร้อมชุดกฎ OWASP CRS จะกรองคำขอ HTTP ภายในเว็บเซิร์ฟเวอร์ — หลังจากถอดรหัสแล้ว ตรงจุดที่มองเห็นเนื้อหาของคำขอ แดชบอร์ดจะอ่านบันทึกการตรวจสอบว่า คำขอใดถูกบล็อก กฎใดทำงาน คะแนนความผิดปกติเป็นเท่าใด และคำขอมาจากที่ใด คนส่วนใหญ่ดูตรงนี้เพื่อหาการตรวจจับผิดพลาดเป็นหลัก นั่นคือกฎเดิม ๆ ที่คอยดักฟอร์มของคุณเองครั้งแล้วครั้งเล่า

Suricata วิเคราะห์ทราฟฟิกเครือข่ายตามลายเซ็นและเขียนสิ่งที่พบลงใน eve.json แดชบอร์ดอ่านไฟล์นี้โดยตรงบนเซิร์ฟเวอร์และแสดงการแจ้งเตือนในรอบ 24 ชั่วโมงโดยจัดกลุ่มตามหมวดหมู่ — โดยไม่ต้องใช้ Elasticsearch และ Kibana ที่กินทรัพยากรบน VPS หนึ่งเครื่องมากกว่าตัวเครื่องที่เฝ้าดูเสียอีก การติดตั้งใหม่จะเงียบอยู่จนกว่า suricata-update จะทำงานอย่างน้อยหนึ่งครั้ง เพราะยังไม่มีกฎอยู่ในนั้น

CrowdSec วิเคราะห์บันทึกตามสถานการณ์และตัดสินใจบล็อก โดยอ้างอิงจากที่อยู่ที่ผู้เข้าร่วมเครือข่ายรายอื่นรายงานมาด้วย — ผู้โจมตีมักเป็นที่รู้จักอยู่แล้ว แดชบอร์ดแสดงการตัดสินใจที่มีผลพร้อมสถานการณ์และเวลาที่เหลือ และถัดมาคือ bouncer ที่ลงทะเบียนไว้ซึ่งเป็นผู้บังคับใช้การตัดสินใจเหล่านั้น หากรายการที่สองว่างเปล่า CrowdSec จะเพียงแจ้งเตือนและไม่บล็อกอะไรเลย

Falco เฝ้าดู system call และแจ้งเตือนเมื่อโปรเซสทำสิ่งที่ไม่เกี่ยวกับหน้าที่ของมัน เช่น เปิด shell จากเว็บเซิร์ฟเวอร์ เขียนลงไดเรกทอรีของไบนารีระบบ หรือเปิดการเชื่อมต่อขาออกที่ไม่คาดคิด แดชบอร์ดแสดงการแจ้งเตือนพร้อมลำดับความสำคัญ กฎที่ทำงาน และบรรทัดคำสั่งของโปรเซส ไม่จำเป็นต้องใช้ Kubernetes สำหรับสิ่งนี้ — บนเซิร์ฟเวอร์ทั่วไป Falco ก็ทำงานได้เช่นเดียวกัน

แอนตี้ไวรัสบน Linux ไม่ได้ปกป้องไบนารีของตัวเอง แต่ปกป้องสิ่งที่เข้าสู่เซิร์ฟเวอร์จากภายนอก เช่น เว็บเชลล์ผ่านฟอร์มอัปโหลด ไฟล์แนบผ่านเมลเซิร์ฟเวอร์ และเพย์โหลดในไดเรกทอรีชั่วคราว แดชบอร์ดแสดงเวลาที่ตรวจสอบล่าสุด สิ่งที่ตรวจพบ และช่องที่สำคัญที่สุด คือ อายุของฐานลายเซ็น ClamAV ที่มีลายเซ็นเก่าเป็นสัปดาห์สร้างเพียงภาพลวงของการป้องกัน และไม่มีอะไรมากกว่านั้น

AIDE จะสร้างลายนิ้วมือเชิงคริปโทกราฟีของระบบไฟล์และรายงานว่ามีอะไรเปลี่ยนไปตั้งแต่การตรวจสอบครั้งก่อน — เป็นคำตอบของคำถามที่เครื่องมืออื่นเลี่ยงที่จะตอบ นั่นคือมันไปแตะต้องอะไรบ้าง แดชบอร์ดแสดงสามรายการ ได้แก่ ไฟล์ที่เพิ่ม ไฟล์ที่แก้ไข และไฟล์ที่ถูกลบ พร้อมแอตทริบิวต์ที่ไม่ตรงกัน รายงานยามเช้าที่พบบ่อยที่สุดมักมาจากการอัปเดตแพ็กเกจในตอนกลางคืน — ตรวจสอบเวลาแล้วสร้างฐานข้อมูลใหม่

เดมอนตรวจสอบจะบันทึกเฉพาะเหตุการณ์ที่ถูกกำหนดไว้เท่านั้น เช่น การเปลี่ยนแปลง /etc/passwd และ /etc/shadow การแก้ไข sshd_config การรันไบนารีเพิ่มสิทธิ์ แดชบอร์ดจะแสดงกฎที่โหลดอยู่ในขณะนี้ เส้นทางที่ถูกติดตาม และเหตุการณ์ล่าสุดพร้อมโปรเซสและผลลัพธ์ การเห็นกฎสำคัญไม่น้อยไปกว่าเหตุการณ์ เพราะชุดกฎที่ว่างเปล่าคือสาเหตุที่พบบ่อยที่สุดที่ทำให้ auditd ดูเหมือนทำงานอยู่แต่ไม่ได้บันทึกอะไรที่มีค่าเลย

UFW ช่วยให้ไม่ต้องยุ่งกับไวยากรณ์ของ iptables แต่ไม่ได้ช่วยให้เข้าใจชุดกฎเมื่อเวลาผ่านไปหลายเดือน แดชบอร์ดแสดงกฎพร้อมการกระทำ พอร์ต โปรโตคอล และแหล่งที่มา และดึงนโยบายเริ่มต้นสำหรับทราฟฟิกขาเข้าและขาออกขึ้นมาไว้ด้านหน้า ซึ่งมักเป็นสิ่งที่ถูกลืม ชุดกฎที่ดูรัดกุมก็ไม่มีความหมายอะไร หากนโยบายเริ่มต้นยังคงเป็น allow

ผู้ที่กวาดสแกนพอร์ตจะไม่ทิ้งร่องรอยการเข้าสู่ระบบที่ล้มเหลวไว้เลย Fail2ban จึงมองไม่เห็น PSAD ปิดช่องว่างนี้ โดยอ่านบันทึกของไฟร์วอลล์เกี่ยวกับทราฟฟิกที่ถูกทิ้งแล้วประเมินสิ่งที่พบ แดชบอร์ดจะแสดงที่อยู่ที่ถูกทำเครื่องหมาย ระดับอันตรายตั้งแต่ 1 ถึง 5 จำนวนแพ็กเก็ตและพอร์ต หากไม่มีกฎการบันทึกในไฟร์วอลล์ PSAD จะเงียบ ซึ่งนี่คือสาเหตุปกติของหน้าว่างเปล่าหลังการติดตั้ง

การต่ออายุอัตโนมัติแก้ปัญหาส่วนใหญ่ได้ และสร้างปัญหาเวอร์ชันที่เงียบกว่าขึ้นมาแทน นั่นคือใบรับรองต่ออายุตัวเองได้เรื่อยๆ จนถึงวันที่มันหยุดทำ และคนแรกที่รู้เรื่องนี้ก็คือผู้เข้าชม แดชบอร์ดจะแสดงรายการใบรับรองที่เซิร์ฟเวอร์ส่งออกมา ทั้งผู้ออกใบรับรอง วันหมดอายุ และจำนวนวันที่เหลือ หากใบรับรองที่ตั้งต่ออายุอัตโนมัติเหลือน้อยกว่าสามสิบวัน แสดงว่าการต่ออายุเงียบๆ ไม่ทำงานมาสักระยะแล้ว

แผนที่นี้แสดงตำแหน่งของที่อยู่ที่เซิร์ฟเวอร์ของคุณเองบล็อกไว้ โดยระบุลงถึงระดับประเทศและปรับขนาดตามจำนวนครั้งที่ตรวจพบ นี่ไม่ใช่ข้อมูลภัยคุกคามที่ซื้อมาจากภายนอก แต่ทุกจุดคือทราฟฟิกที่มาถึงเครื่องนี้จริง แผนที่จะมีประโยชน์เมื่อดูในระยะยาว การกระจุกตัวจากเครือข่ายเดียวมักหมายถึงผู้โจมตีรายเดียวที่ไล่ตามรายการเป้าหมาย ส่วนการกระจายอย่างสม่ำเสมอคือสัญญาณรบกวนทั่วไปบนอินเทอร์เน็ต

Logwatch สรุปบันทึกตลอดวันไว้ในรายงานเดียวแล้วส่งทางอีเมล ซึ่งไม่กี่สัปดาห์ต่อมาก็ไปกองอยู่ในโฟลเดอร์ที่ไม่มีใครเปิดดู ปัญหาไม่เคยอยู่ที่ข้อมูล แต่อยู่ที่การนำส่ง แดชบอร์ดเก็บรายงานไว้บนเซิร์ฟเวอร์และแสดงเป็นหน้า ๆ พร้อมคลังของวันก่อนหน้า วันเดียวบอกว่าเกิดอะไรขึ้น ส่วนหนึ่งสัปดาห์บอกว่าอะไรเปลี่ยนไป

Monit เฝ้าติดตามโปรเซส ไฟล์ ระบบไฟล์ และโหนด แล้วรีสตาร์ตสิ่งที่พบว่าเสียหาย แดชบอร์ดจะแสดงการตรวจสอบแต่ละรายการพร้อมสถานะปัจจุบัน วัตถุที่เฝ้าดู และจำนวนครั้งที่เข้าแทรกแซง ตัวนับการรีสตาร์ตคือฟิลด์ที่ซื่อสัตย์ที่สุด บริการที่ถูกรีสตาร์ตสี่สิบครั้งไม่ได้แข็งแรง มันล้มครั้งแล้วครั้งเล่า และการรีสตาร์ตก็แค่กลบเกลื่อนไว้

เข้าสู่แผงควบคุมด้วยคีย์ฮาร์ดแวร์ Touch ID หรือ Face ID แทนรหัสผ่านที่สอง คีย์จะยืนยันโดเมนในระดับโปรโตคอล ดังนั้นหน้าเข้าสู่ระบบปลอมบนที่อยู่คล้ายกันจะไม่ทำงาน — ฟิชชิงไม่มีอะไรให้ดักจับ คุณสามารถสร้างคีย์ได้หลายอัน แต่ละอันมีชื่อและเวลาใช้งานล่าสุดของตัวเอง และเพิกถอนแต่ละอันแยกกันได้

อะไรบนเครื่องนี้ที่เข้าถึงได้จากภายนอก คือคำถามด้านความปลอดภัยที่มีประโยชน์ที่สุด และผลลัพธ์จาก ss ต้องคอยไล่อ่านด้วยตาทุกครั้ง แดชบอร์ดจะแสดงซ็อกเก็ตที่กำลังฟังพร้อมพอร์ต โปรโตคอล ที่อยู่ที่ผูกไว้ และโปรเซส ส่วนด้านล่างคือการเชื่อมต่อที่สร้างขึ้นแล้ว สิ่งที่ควรอ่านก่อนคือที่อยู่ที่ผูกไว้ บริการที่ 127.0.0.1 เข้าถึงได้จากตัวเครื่องเองเท่านั้น ส่วนบริการเดียวกันที่ 0.0.0.0 เปิดให้ทั้งอินเทอร์เน็ต

Top ตอบคำถามเกี่ยวกับวินาทีปัจจุบัน แต่คำถามที่มักถูกถามคือเรื่องของเมื่อคืนที่ผ่านมา ตัวเก็บข้อมูลจะเขียนบรรทัดใหม่ลงในฐานข้อมูลทุกห้านาที และหน้าเพจจะวาดข้อมูลย้อนหลัง 24 ชั่วโมงจากบรรทัดเหล่านั้น ได้แก่ load average, CPU และ I/O wait แยกกัน, หน่วยความจำและ swap, เครือข่าย, ดิสก์, การเชื่อมต่อ TCP และ file descriptor ควรอ่านกราฟเป็นคู่ ๆ: I/O wait สูงในขณะที่ CPU ว่างหมายความว่าเซิร์ฟเวอร์กำลังรอดิสก์ และการเพิ่มคอร์โปรเซสเซอร์ก็ไม่มีประโยชน์

ปัญหาเกี่ยวกับดิสก์มีสองแบบที่ต่างกันโดยสิ้นเชิง คือไดรฟ์ที่เริ่มเสีย และระบบไฟล์ที่เต็มจนลากบริการต่าง ๆ ให้ล่มตามไปด้วย แดชบอร์ดครอบคลุมทั้งสองแบบ ทั้งพื้นที่ที่ใช้ในแต่ละพาร์ทิชัน ค่า SMART และอุณหภูมิ สัญญาณของการเสียดูได้จากสามค่า ได้แก่ เซกเตอร์ที่ถูกย้ายตำแหน่ง เซกเตอร์ที่รอดำเนินการ และเซกเตอร์ที่แก้ไขไม่ได้แบบออฟไลน์ และมีการแสดง inode แยกต่างหาก เพราะมันหมดก่อนพื้นที่ว่าง และอธิบายได้ว่าทำไมการเขียนถึงล้มเหลวทั้งที่ดิสก์ยังมีที่ว่าง

การควบคุมการเข้าถึงแบบบังคับจะกำหนดว่าโปรแกรมทำอะไรได้บ้าง โดยไม่ขึ้นกับสิทธิ์ของผู้ใช้ที่รันมัน AppArmor ติดตั้งอยู่บนเซิร์ฟเวอร์ Ubuntu และ Debian ส่วนใหญ่ และบนหลายเครื่องมันแทบไม่จำกัดอะไรเลย แผงควบคุมจะแสดงโปรไฟล์ที่โหลดพร้อมโหมด กระบวนการที่อยู่ภายใต้การจำกัด และที่น่าสนใจกว่าคือกระบวนการที่ไม่มีโปรไฟล์เลย โปรไฟล์ในโหมด complain จะเพียงบันทึกว่ามันจะบล็อกอะไร ส่วนที่จำกัดจริงมีเฉพาะ enforce เท่านั้น