Bảo vệ máy chủ của bạn. Mọi cuộc tấn công và thay đổi trong một bảng điều khiển.

Fail2ban đọc nhật ký của các dịch vụ và chặn những địa chỉ không vượt qua xác thực. Bảng điều khiển hiển thị tất cả jail trên một màn hình: hiện đang chặn bao nhiêu địa chỉ, đã chặn bao nhiêu kể từ khi dịch vụ khởi động và jail nào đã bắt được chúng. Một jail không bắt được gì cũng hiển thị rõ ràng như jail đang hoạt động — thường thì điều đó có nghĩa là nó đang đọc nhầm tệp nhật ký.

IPSUM — danh sách địa chỉ được cập nhật hằng ngày, gồm những địa chỉ đã bị phát hiện tấn công vào server của người khác. Ipset giữ danh sách này trong bộ nhớ nhân, nên việc kiểm tra hàng trăm nghìn địa chỉ không gây tải cho tường lửa. Bảng điều khiển hiển thị kích thước danh sách và thời điểm cập nhật gần nhất: đây là lớp bảo vệ trước cả nỗ lực đầu tiên — địa chỉ bị chặn trước khi kịp chạm tới dịch vụ.

Lynis chạy hàng trăm lượt kiểm tra cấu hình và đưa ra hardening index — điểm số trên thang 100. Bảng điều khiển phân tích báo cáo và hiển thị các cảnh báo cùng khuyến nghị kèm mã định danh của bài kiểm tra, để bạn có thể xem từng mục có ý nghĩa gì. Đạt 100 trên 100 không phải là mục tiêu: một số khuyến nghị được viết cho những kịch bản không có trên máy chủ của bạn.

ModSecurity với bộ quy tắc OWASP CRS lọc các yêu cầu HTTP ngay trong máy chủ web — sau khi giải mã, nơi thấy được nội dung yêu cầu. Bảng điều khiển đọc nhật ký audit: yêu cầu nào bị chặn, quy tắc nào kích hoạt, điểm bất thường là bao nhiêu và yêu cầu đến từ đâu. Người ta xem ở đây trước hết vì các cảnh báo giả: cùng một quy tắc, hết lần này đến lần khác bắt nhầm chính biểu mẫu của bạn.

Suricata phân tích lưu lượng mạng theo các chữ ký và ghi kết quả phát hiện vào eve.json. Bảng điều khiển đọc trực tiếp tệp này trên máy chủ và hiển thị cảnh báo trong 24 giờ, được nhóm theo danh mục — không cần Elasticsearch và Kibana, vốn ngốn nhiều tài nguyên hơn cả máy đang giám sát trên cùng một VPS. Bản cài mới sẽ im lặng cho đến khi suricata-update chạy ít nhất một lần: lúc này chưa có quy tắc nào.

CrowdSec phân tích nhật ký theo kịch bản và đưa ra quyết định chặn, dựa cả vào những địa chỉ do các thành viên khác trong mạng lưới báo cáo — kẻ tấn công thường đã được biết đến từ trước. Bảng điều khiển hiển thị các quyết định đang có hiệu lực kèm kịch bản và thời gian còn lại, bên cạnh là các bouncer đã đăng ký chịu trách nhiệm thực thi những quyết định đó. Nếu danh sách thứ hai trống, CrowdSec chỉ cảnh báo mà không chặn gì.

Falco theo dõi các lời gọi hệ thống và phát cảnh báo khi một tiến trình làm điều không thuộc phận sự của nó: mở shell từ web server, ghi vào thư mục tệp nhị phân hệ thống, mở kết nối ra ngoài bất thường. Bảng điều khiển hiển thị cảnh báo kèm mức ưu tiên, quy tắc đã kích hoạt và dòng lệnh của tiến trình. Không cần Kubernetes cho việc này — trên máy chủ thông thường Falco vẫn chạy y như vậy.

Trên Linux, phần mềm diệt virus không bảo vệ các tệp nhị phân của chính nó, mà bảo vệ những gì lọt vào máy chủ từ bên ngoài: web shell qua biểu mẫu tải lên, tệp đính kèm qua máy chủ thư, payload trong các thư mục tạm. Bảng điều khiển hiển thị thời điểm quét gần nhất, nó đã tìm thấy gì và — trường quan trọng nhất — tuổi của cơ sở dữ liệu chữ ký. ClamAV với chữ ký cũ cả tuần chỉ tạo cảm giác được bảo vệ, chứ chẳng hơn được gì.

AIDE tạo dấu vân mật mã của hệ thống tệp và báo cho bạn biết điều gì đã thay đổi kể từ lần kiểm tra trước — trả lời câu hỏi mà các công cụ khác né tránh: chúng đã đụng vào những gì. Bảng điều khiển hiển thị ba danh sách: tệp được thêm, tệp thay đổi và tệp bị xóa cùng với các thuộc tính khác biệt. Báo cáo buổi sáng thường gặp nhất là do cập nhật gói ban đêm — hãy đối chiếu thời gian và dựng lại cơ sở dữ liệu.

Trình nền audit ghi lại đúng những sự kiện mà bạn yêu cầu: thay đổi trong /etc/passwd và /etc/shadow, chỉnh sửa sshd_config, việc chạy các tệp nhị phân nâng quyền. Bảng điều khiển hiển thị những quy tắc đang được nạp ngay lúc này, các đường dẫn được theo dõi và những sự kiện mới nhất kèm tiến trình và kết quả. Thấy được quy tắc quan trọng không kém gì thấy sự kiện: một bộ rỗng là nguyên nhân phổ biến nhất khiến auditd trông như đang chạy nhưng không ghi được gì có giá trị.

UFW giúp bạn tránh cú pháp iptables, nhưng lại không giúp gì khi cần đọc lại bộ quy tắc sau nhiều tháng. Bảng điều khiển hiển thị các quy tắc kèm hành động, cổng, giao thức và nguồn, đồng thời đưa lên đầu các chính sách mặc định cho lưu lượng vào và ra — thứ thường bị bỏ quên. Một bộ quy tắc trông có vẻ chặt chẽ chẳng có ý nghĩa gì nếu chính sách mặc định vẫn để ở allow.

Kẻ dò quét cổng không để lại lần đăng nhập thất bại nào, nên Fail2ban không thấy được. PSAD lấp khoảng trống này: nó đọc các bản ghi tường lửa về lưu lượng bị chặn và đánh giá những gì tìm thấy. Bảng điều khiển hiển thị địa chỉ đã đánh dấu, mức nguy hiểm từ 1 đến 5, số gói tin và cổng. Không có quy tắc ghi nhật ký trong tường lửa thì PSAD im lặng — đây chính là lý do thường gặp khiến trang trống rỗng sau khi cài.

Tự động gia hạn đã giải quyết phần lớn vấn đề nhưng tạo ra một phiên bản âm thầm hơn của nó: chứng chỉ tự gia hạn — cho tới ngày chúng ngừng làm vậy, và người đầu tiên phát hiện lại là khách truy cập. Bảng điều khiển liệt kê các chứng chỉ mà máy chủ trả về: đơn vị cấp, ngày hết hạn, số ngày còn lại. Chứng chỉ có tự động gia hạn mà còn dưới ba mươi ngày nghĩa là việc gia hạn đã âm thầm không hoạt động được một thời gian.

Bản đồ hiển thị các địa chỉ mà chính máy chủ của bạn đã chặn, được phân giải tới cấp quốc gia và co giãn theo số lần bị tấn công. Đây không phải luồng dữ liệu về mối đe dọa mua từ bên ngoài: mỗi điểm là lưu lượng thực sự đã đến được máy này. Bản đồ phát huy giá trị theo thời gian: một cụm dày đặc từ cùng một mạng thường là dấu hiệu của một thủ phạm duy nhất đang dò theo danh sách, còn sự phân tán đều thường chỉ là nhiễu thông thường trên Internet.

Logwatch gộp nhật ký của cả ngày thành một báo cáo và gửi qua email — nơi mà chỉ sau vài tuần nó lọt vào một thư mục chẳng ai buồn mở. Vấn đề chưa bao giờ nằm ở thông tin, mà ở khâu chuyển phát. Dashboard giữ báo cáo ngay trên máy chủ và hiển thị theo trang, kèm kho lưu các ngày trước: một ngày cho biết chuyện gì đã xảy ra, còn một tuần cho thấy điều gì đã thay đổi.

Monit theo dõi các tiến trình, tệp, hệ thống tệp và máy chủ, đồng thời khởi động lại những gì phát hiện bị hỏng. Bảng điều khiển hiển thị từng lần kiểm tra kèm trạng thái hiện tại, đối tượng theo dõi và số lần can thiệp. Bộ đếm số lần khởi động lại là trường trung thực nhất: một dịch vụ phải khởi động lại bốn mươi lần thì không hề khỏe mạnh, nó sập hết lần này đến lần khác, còn việc khởi động lại chỉ che giấu điều đó.

Đăng nhập vào bảng điều khiển bằng khóa phần cứng, Touch ID hoặc Face ID thay cho mật khẩu thứ hai. Khóa xác thực tên miền ngay ở cấp giao thức, nên một bản sao trang đăng nhập trên địa chỉ tương tự sẽ không hoạt động — kẻ tấn công lừa đảo chẳng có gì để chặn bắt. Bạn có thể tạo nhiều khóa, mỗi khóa mang tên riêng và thời điểm sử dụng gần nhất, và có thể thu hồi từng khóa một cách riêng lẻ.

Câu hỏi bảo mật hữu ích nhất là những gì trên máy này có thể tiếp cận được từ bên ngoài, mà kết quả của ss thì lần nào cũng phải căng mắt đọc lại. Bảng điều khiển hiển thị các socket đang lắng nghe kèm cổng, giao thức, địa chỉ ràng buộc và tiến trình, còn bên dưới là các kết nối đã thiết lập. Nên đọc địa chỉ ràng buộc trước tiên: dịch vụ trên 127.0.0.1 chỉ truy cập được từ chính máy đó, còn cùng dịch vụ ấy trên 0.0.0.0 thì phơi ra cả internet.

Top trả lời về giây hiện tại, trong khi câu hỏi thường là về đêm hôm qua. Cứ mỗi năm phút, bộ thu thập lại ghi thêm một dòng vào cơ sở dữ liệu, và trang sẽ dựa vào đó để vẽ lại toàn bộ 24 giờ qua: load average, CPU và I/O wait riêng biệt, bộ nhớ và swap, mạng, đĩa, kết nối TCP, bộ mô tả tệp. Nên đọc các biểu đồ theo cặp: I/O wait cao trong khi CPU nhàn rỗi nghĩa là máy chủ đang chờ đĩa, và việc thêm nhân xử lý là vô ích.

Có hai loại rắc rối về ổ đĩa, và chúng khác hẳn nhau: ổ lưu trữ bắt đầu hỏng, và hệ thống tệp đầy dần rồi kéo theo các dịch vụ ngừng hoạt động. Bảng điều khiển bao quát cả hai — mức sử dụng phân vùng, thuộc tính SMART và nhiệt độ. Hỏng ổ được báo trước qua ba thuộc tính: số sector được ánh xạ lại, số đang chờ và số không thể sửa khi offline. Chỉ số inode được hiển thị riêng — chúng cạn trước cả dung lượng trống và lý giải vì sao có những thao tác ghi thất bại dù đĩa vẫn còn chỗ trống.

Kiểm soát truy cập bắt buộc quyết định chương trình được phép làm gì, bất kể quyền của người dùng đã khởi chạy nó. AppArmor có mặt trên hầu hết máy chủ Ubuntu và Debian, và trên rất nhiều máy nó gần như không giới hạn gì cả. Bảng điều khiển hiển thị các profile đã nạp cùng chế độ của chúng, các tiến trình đang bị giới hạn và — phần thú vị hơn — các tiến trình hoàn toàn không có profile. Profile ở chế độ complain chỉ ghi lại những gì lẽ ra đã bị chặn; chỉ chế độ enforce mới thực sự giới hạn.