Захистіть свій сервер. Усі атаки та зміни в одній панелі.

Fail2ban читає журнали служб і банить адреси, які не проходять автентифікацію. Панель показує всі jail на одному екрані: скільки адрес заблоковано зараз, скільки — від моменту запуску служби і який jail їх упіймав. Jail, що не впіймав узагалі нічого, видно так само чітко, як і робочий, — найчастіше це означає, що він читає не той файл журналу.

IPSUM — щоденно оновлюваний список адрес, помічених в атаках на чужі сервери. Ipset тримає його в пам'яті ядра, тож перевірка сотень тисяч адрес не навантажує брандмауер. Панель показує розмір списку та час останнього оновлення: це захист до першої спроби — адреса відсікається раніше, ніж дійде до служби.

Lynis виконує сотні перевірок конфігурації та обчислює hardening index — оцінку зі 100. Панель розбирає звіт і показує попередження й рекомендації разом з ідентифікатором тесту, щоб ви могли переглянути, що означає кожен. 100 зі 100 — не мета: частину рекомендацій написано під сценарії, яких на вашому сервері немає.

ModSecurity з набором правил OWASP CRS фільтрує HTTP-запити всередині веб-сервера — уже після розшифрування, там, де видно вміст запиту. Панель читає журнал аудиту: який запит заблоковано, яке правило спрацювало, якою була оцінка аномалії та звідки надійшов запит. Сюди дивляться передусім заради хибних спрацювань: одне й те саме правило, що раз за разом ловить вашу ж форму.

Suricata аналізує мережевий трафік за сигнатурами й записує знахідки в eve.json. Панель читає цей файл безпосередньо на сервері та показує сповіщення за добу, згруповані за категоріями, — без Elasticsearch і Kibana, які на одному VPS важать більше, ніж машина, за якою вони стежать. Свіже встановлення мовчить, доки хоча б раз не відпрацює suricata-update: правил у ньому ще немає.

CrowdSec розбирає журнали за сценаріями й ухвалює рішення про блокування, спираючись ще й на адреси, про які повідомили інші учасники мережі, — нападник часто приходить уже відомим. Панель показує чинні рішення зі сценарієм і залишком часу, а поруч — зареєстровані bouncer-и, які ці рішення виконують. Якщо другий список порожній, CrowdSec лише сповіщає й нічого не блокує.

Falco стежить за системними викликами й піднімає сповіщення, коли процес робить те, що його не стосується: запускає оболонку з вебсервера, пише в каталог системних бінарників, відкриває неочікуване вихідне з’єднання. Панель показує сповіщення з пріоритетом, спрацьованим правилом і командним рядком процесу. Kubernetes для цього не потрібен — на звичайному сервері Falco працює так само.

Антивірус на Linux захищає не власні бінарники, а те, що потрапляє на сервер ззовні: вебшели через форму завантаження, вкладення через поштовий сервер, шкідливі навантаження в тимчасових каталогах. Панель показує час останньої перевірки, що вона знайшла і — найважливіше поле — вік бази сигнатур. ClamAV з тижневими сигнатурами створює видимість захисту й нічого більше.

AIDE знімає криптографічний відбиток файлової системи й повідомляє, що змінилося з минулої перевірки, — відповідає на питання, якого уникають інші інструменти: чого вони торкалися. Панель показує три списки: додані, змінені та видалені файли разом із розбіжними атрибутами. Найчастіший ранковий звіт пояснюється нічними оновленнями пакетів — звірте час і перебудуйте базу.

Демон аудиту записує саме ті події, про які його попросили: зміни /etc/passwd і /etc/shadow, правки sshd_config, запуск бінарників підвищення привілеїв. Панель показує завантажені просто зараз правила, відстежувані шляхи та свіжі події з процесом і результатом. Бачити правила не менш важливо, ніж події: порожній набір — найчастіша причина, через яку auditd виглядає працюючим, але не записує нічого цінного.

UFW позбавляє від синтаксису iptables, але не допомагає розібратися в наборі правил місяці потому. Панель показує правила з дією, портом, протоколом і джерелом, а наперед виносить політики за замовчуванням для вхідного та вихідного трафіку — саме про них зазвичай і забувають. Суворий на вигляд набір правил не означає нічого, якщо політику за замовчуванням залишено на allow.

Той, хто прочісує порти, не залишає жодної невдалої спроби входу, тому Fail2ban його не бачить. PSAD закриває цю прогалину: він читає записи фаєрвола про відкинутий трафік і оцінює знайдене. Панель показує позначені адреси, рівень небезпеки від 1 до 5, кількість пакетів і порти. Без правила журналювання у фаєрволі PSAD мовчить — це і є звична причина порожньої сторінки після встановлення.

Автоматичне продовження вирішило більшу частину проблеми й породило її тихішу версію: сертифікати продовжують себе самі — аж до дня, коли перестають, і першим про це дізнається відвідувач. Панель перелічує сертифікати, які віддає сервер: видавця, дату завершення, залишок днів. Менше ніж тридцять днів у сертифіката з автопродовженням означає, що продовження вже певний час тихо не спрацьовує.

Карта показує адреси, які заблокував ваш власний сервер, з визначенням країни та масштабуванням за кількістю влучань. Це не куплений збоку потік даних про загрози: кожна точка — це трафік, що дійшов до цієї машини. По-справжньому корисною карта стає з часом: скупчення з однієї мережі зазвичай означає єдиного виконавця, який іде за списком, а рівномірне розсіювання — звичайний інтернет-шум.

Logwatch зводить журнали за добу в один звіт і надсилає його поштою — де той за пару тижнів опиняється в теці, куди ніхто не зазирає. Проблемою ніколи не була інформація, нею була доставка. Панель тримає звіти на сервері й показує їх сторінками, з архівом попередніх днів: один день говорить, що сталося, а тиждень — що змінилося.

Monit стежить за процесами, файлами, файловими системами та вузлами й перезапускає те, що виявив пошкодженим. Панель показує кожну перевірку з поточним станом, об'єктом спостереження та кількістю втручань. Лічильник перезапусків — найчесніше поле: служба, перезапущена сорок разів, не здорова, вона падає раз за разом, а перезапуски це приховують.

Вхід до панелі за апаратним ключем, Touch ID чи Face ID замість другого пароля. Ключ підтверджує домен на рівні протоколу, тож копія сторінки входу на схожій адресі не спрацює — фішингу нічого перехоплювати. Ключів можна завести кілька, кожен зі своїм іменем і часом останнього використання, і відкликати будь-який з них окремо.

Що на цій машині доступне ззовні — найкорисніше питання безпеки, а вивід ss доводиться щоразу перечитувати очима. Панель показує слухаючі сокети з портом, протоколом, адресою прив'язки та процесом, а нижче — встановлені з'єднання. Першою варто читати адресу прив'язки: служба на 127.0.0.1 доступна лише з самої машини, та сама служба на 0.0.0.0 — усьому інтернету.

Top відповідає на питання про поточну секунду, а запитують зазвичай про минулу ніч. Колектор раз на п'ять хвилин дописує рядок у базу, а сторінка малює за ним останню добу: load average, CPU та I/O wait окремо, пам'ять і swap, мережа, диск, TCP-з'єднання, файлові дескриптори. Читати графіки варто парами: високий I/O wait за спокійного CPU означає, що сервер чекає на диск, і додавати процесорні ядра немає сенсу.

Дискових бід дві, і вони несхожі між собою: накопичувач, який починає відмовляти, і файлова система, яка заповнюється й тягне за собою служби. Панель охоплює обидві — зайнятість розділів, атрибути SMART і температуру. Відмову провіщають три атрибути: перепризначені сектори, очікувані та невиправні в офлайні. Окремо показано inode — вони закінчуються раніше за вільне місце й пояснюють записи, які не проходять на диску з вільним місцем.

Мандатний контроль доступу вирішує, що дозволено програмі, незалежно від прав користувача, який її запустив. AppArmor встановлено на більшості серверів Ubuntu і Debian, і на дуже багатьох він майже нічого не обмежує. Панель показує завантажені профілі з режимом, процеси під обмеженням і — цікавіша половина — процеси взагалі без профілю. Профіль у режимі complain лише записує, що він заблокував би; обмежує тільки enforce.