Зірочка в sudoers майже завжди означає root
Чому зірочка в правилі sudo дістає далі, ніж здається, як літерал у середині команди перестає будь-що обмежувати і чим такі правила замінюють. Розібрано на справжньому вектору через fail2ban.
ЧитатиСтатті про безпеку серверів
Ближчий погляд на інструменти, які вже працюють на вашому сервері: що вони показують, як читати їхній вивід і де зазвичай помиляються.
Вхід і доступ
4CrowdSec і Fail2ban: у чому різниця й чи варто тримати обидва
Локальний лічильник проти спільної репутації, чому після встановлення CrowdSec нічого не блокується і що в результаті йде з вашого сервера.
ЧитатиДжейли Fail2ban, які справді мають значення
Що вмикати, крім sshd, які значення bantime та maxretry мають сенс і чому на Debian 12 джейл sshd часто не ловить нічого.
ЧитатиВимкнути паролі в SSH і не втратити доступ
Ключі замість паролів за десять хвилин: як перевірити себе перед вимкненням, чому файл 90-hardening.conf програє хмарному і що робити з ssh.socket в Ubuntu 24.04.
ЧитатиМережа і фаєрвол
6Пляма на карті атак: що з нею робити на своєму сервері
Готові правила замість блокування країни: джейл на сканери чужих адмінок, обмеження темпу, захист від самобану і правильно окреслене блокування підмережі. З командами перевірки і з тим, що не можна відрізати, щоб не втратити платежі та індексацію.
ЧитатиSuricata на одному VPS: без ELK і без Kibana
Чому типова конфігурація Suricata за дві доби з’їдає диск, що лишити в eve.json і як читати сповіщення без стека з трьох сервісів.
ЧитатиХибні спрацювання ModSecurity: що вносити до білого списку першим
Чому CRS блокує ваші ж форми, як знайти винне правило за журналом і три способи зробити виняток, не вимикаючи захист.
ЧитатиPSAD: побачити, що ваш сервер сканують
Сканування портів не лишає сліду в журналах застосунків, тому Fail2ban його не бачить. Як налаштувати PSAD і чому без увімкненого логування в UFW він нічого не показує.
ЧитатиЯкі порти ніколи не мають дивитися в інтернет
Як читати вивід ss, що відрізняє 0.0.0.0 від 127.0.0.1 і чому Redis без пароля на публічній адресі означає злам протягом години.
ЧитатиUFW: правила, які нічого не закривають
Порядок правил, IPv6 повз фільтр, Docker, що публікує порти в обхід UFW, і чому «status active» ще не означає, що порт закрито.
ЧитатиЗміцнення системи
4Дванадцять перевірок сервера, які варто робити раз на тиждень
Стан сервера змінюється сам: пакунки чекають на оновлення, сертифікат наближається до кінця, джейл перестав стежити за SSH. Перелік того, що варто дивитися регулярно, з командами — і чим він закінчується, коли робити це руками набридає.
ЧитатиAppArmor: enforce, complain і що означає unconfined
Профілі обмежують програму тим, що вона має робити, і перетворюють зламаний сайт на дрібну неприємність. Що ввімкнено типово і як додати профіль, не зламавши службу.
ЧитатиІндекс захищеності Lynis: з 60 до 85
Як читати звіт Lynis, які рекомендації дають реальний приріст, які не стосуються VPS і чому 100 зі 100 не буває.
ЧитатиАвтоматичні оновлення безпеки без сюрпризів
Як налаштувати unattended-upgrades, щоб латки ставилися самі й нічого не падало вночі, і чому прапорець reboot-required не можна ігнорувати.
ЧитатиОзнаки зламу
7Як зрозуміти, що ваш VPS зламали
Ознаки того, що на сервері хтось сторонній, і порядок, у якому їх перевіряти: входи, змінені файли, вихідні з’єднання. Без паніки й без перевстановлення з нуля.
ЧитатиДе закріплюється зловмисник: cron, таймери, ключі
Вісім місць, з яких шкідливий код запускається знову після перезавантаження і після видалення, і команди, які перевіряють увесь список за п’ять хвилин.
ЧитатиFalco на звичайному VPS, без Kubernetes
Falco вміє стежити за поведінкою процесів на звичайному сервері: оболонка, запущена з PHP, читання ваших ключів, майнер із /tmp. Що вимкнути, щоб не потонути в шумі.
Читатиauditd: правила, які варто мати, щоб потім було що читати
З коробки auditd не записує майже нічого корисного. Набір правил, який відповідає на питання, що виникають після інциденту, і як читати результат, не завчаючи ausearch.
Читатиdebsums: перевірка, що системні файли не підмінили
Готовий еталон цілісності вже є всередині кожного пакета Debian та Ubuntu. Як ним користуватися, чому частина знахідок легітимна і чому покриття неповне.
ЧитатиAIDE: помітити, що файл підмінили
Налаштування контролю цілісності так, щоб звіт справді читали: що виключити, де тримати базу і чому aide --update ніколи не запускають наосліп.
ЧитатиАнтивірус на Linux-сервері: що він насправді ловить
Навіщо ClamAV на сервері без Windows, чому він не захищає від зламу, скільки пам’яті хоче clamd і як сканувати завантаження замість усього диска.
ЧитатиСтан сервера
6Навантаження сервера: load average, I/O wait і swap
Чому load average 8 буває нормою, а 2 — аварією, чим зайнятий процесор відрізняється від диска, на який чекає система, і що означає swap, який одного разу зріс і не повернувся до нуля.
ЧитатиСайт гальмує: на що дивитися в MySQL і PostgreSQL
Порядок, у якому перевіряють базу, коли все стало повільним: з’єднання, повільні запити, розмір буфера. Плюс дві речі, які тихо з’їдають диск.
ЧитатиСертифікат прострочено: чому ламається автопродовження
П’ять причин, з яких certbot тихо перестає продовжувати сертифікат, і чому перевіряти треба те, що справді віддає сервер, а не файл на диску.
ЧитатиДиск заповнений, а місце є: inode, журнали і SMART
Чому df показує вільні гігабайти поруч із помилкою «no space left», куди діваються видалені, але не звільнені файли, і які атрибути SMART справді провіщають відмову.
ЧитатиMonit: перезапуск служби, що впала, і межі цього підходу
Чим перевірки Monit відрізняються від Restart=always у systemd, як уникнути нескінченного циклу перезапусків і чому вебінтерфейс на порту 2812 не має дивитися назовні.
ЧитатиLogwatch: щоденний звіт, який перестають читати
Як налаштувати рівень деталізації, щоб лист уміщався в екран, які розділи читати першими і чому на Debian 12 розділ SSH виходить порожнім.
ЧитатиНічого не знайдено