Навантаження сервера: load average, I/O wait і swap
Чому load average 8 буває нормою, а 2 — аварією, чим зайнятий процесор відрізняється від диска, на який чекає система, і що означає swap, який одного разу зріс і не повернувся до нуля.
ЧитатиСтатті про безпеку серверів
Ближчий погляд на інструменти, які вже працюють на вашому сервері: що вони показують, як читати їхній вивід і де зазвичай помиляються.
Як зрозуміти, що ваш VPS зламали
Ознаки того, що на сервері хтось сторонній, і порядок, у якому їх перевіряти: входи, змінені файли, вихідні з’єднання. Без паніки й без перевстановлення з нуля.
ЧитатиДе закріплюється зловмисник: cron, таймери, ключі
Вісім місць, з яких шкідливий код запускається знову після перезавантаження і після видалення, і команди, які перевіряють увесь список за п’ять хвилин.
ЧитатиFalco на звичайному VPS, без Kubernetes
Falco вміє стежити за поведінкою процесів на звичайному сервері: оболонка, запущена з PHP, читання ваших ключів, майнер із /tmp. Що вимкнути, щоб не потонути в шумі.
ЧитатиCrowdSec і Fail2ban: у чому різниця й чи варто тримати обидва
Локальний лічильник проти спільної репутації, чому після встановлення CrowdSec нічого не блокується і що в результаті йде з вашого сервера.
ЧитатиSuricata на одному VPS: без ELK і без Kibana
Чому типова конфігурація Suricata за дві доби з’їдає диск, що лишити в eve.json і як читати сповіщення без стека з трьох сервісів.
ЧитатиХибні спрацювання ModSecurity: що вносити до білого списку першим
Чому CRS блокує ваші ж форми, як знайти винне правило за журналом і три способи зробити виняток, не вимикаючи захист.
ЧитатиPSAD: побачити, що ваш сервер сканують
Сканування портів не лишає сліду в журналах застосунків, тому Fail2ban його не бачить. Як налаштувати PSAD і чому без увімкненого логування в UFW він нічого не показує.
ЧитатиAppArmor: enforce, complain і що означає unconfined
Профілі обмежують програму тим, що вона має робити, і перетворюють зламаний сайт на дрібну неприємність. Що ввімкнено типово і як додати профіль, не зламавши службу.
Читатиauditd: правила, які варто мати, щоб потім було що читати
З коробки auditd не записує майже нічого корисного. Набір правил, який відповідає на питання, що виникають після інциденту, і як читати результат, не завчаючи ausearch.
Читатиdebsums: перевірка, що системні файли не підмінили
Готовий еталон цілісності вже є всередині кожного пакета Debian та Ubuntu. Як ним користуватися, чому частина знахідок легітимна і чому покриття неповне.
ЧитатиAIDE: помітити, що файл підмінили
Налаштування контролю цілісності так, щоб звіт справді читали: що виключити, де тримати базу і чому aide --update ніколи не запускають наосліп.
ЧитатиСайт гальмує: на що дивитися в MySQL і PostgreSQL
Порядок, у якому перевіряють базу, коли все стало повільним: з’єднання, повільні запити, розмір буфера. Плюс дві речі, які тихо з’їдають диск.
ЧитатиАнтивірус на Linux-сервері: що він насправді ловить
Навіщо ClamAV на сервері без Windows, чому він не захищає від зламу, скільки пам’яті хоче clamd і як сканувати завантаження замість усього диска.
ЧитатиІндекс захищеності Lynis: з 60 до 85
Як читати звіт Lynis, які рекомендації дають реальний приріст, які не стосуються VPS і чому 100 зі 100 не буває.
ЧитатиСертифікат прострочено: чому ламається автопродовження
П’ять причин, з яких certbot тихо перестає продовжувати сертифікат, і чому перевіряти треба те, що справді віддає сервер, а не файл на диску.
ЧитатиДиск заповнений, а місце є: inode, журнали і SMART
Чому df показує вільні гігабайти поруч із помилкою «no space left», куди діваються видалені, але не звільнені файли, і які атрибути SMART справді провіщають відмову.
ЧитатиЯкі порти ніколи не мають дивитися в інтернет
Як читати вивід ss, що відрізняє 0.0.0.0 від 127.0.0.1 і чому Redis без пароля на публічній адресі означає злам протягом години.
ЧитатиMonit: перезапуск служби, що впала, і межі цього підходу
Чим перевірки Monit відрізняються від Restart=always у systemd, як уникнути нескінченного циклу перезапусків і чому вебінтерфейс на порту 2812 не має дивитися назовні.
ЧитатиАвтоматичні оновлення безпеки без сюрпризів
Як налаштувати unattended-upgrades, щоб латки ставилися самі й нічого не падало вночі, і чому прапорець reboot-required не можна ігнорувати.
ЧитатиДжейли Fail2ban, які справді мають значення
Що вмикати, крім sshd, які значення bantime та maxretry мають сенс і чому на Debian 12 джейл sshd часто не ловить нічого.
ЧитатиUFW: правила, які нічого не закривають
Порядок правил, IPv6 повз фільтр, Docker, що публікує порти в обхід UFW, і чому «status active» ще не означає, що порт закрито.
ЧитатиВимкнути паролі в SSH і не втратити доступ
Ключі замість паролів за десять хвилин: як перевірити себе перед вимкненням, чому файл 90-hardening.conf програє хмарному і що робити з ssh.socket в Ubuntu 24.04.
ЧитатиLogwatch: щоденний звіт, який перестають читати
Як налаштувати рівень деталізації, щоб лист уміщався в екран, які розділи читати першими і чому на Debian 12 розділ SSH виходить порожнім.
Читати