Securizarea unui server Linux: ghid pentru proprietari de site

Un server Linux nesecurizat este o țintă vulnerabilă pentru atacuri automate care scanează internetul în permanență în căutarea sistemelor cu configurații implicite sau versiuni vechi de software.

Securizarea de bază a serverului nu necesită cunoștințe avansate de administrare Linux, dar necesită atenție și consecvență. Pașii prezentați în acest ghid reduc semnificativ suprafața de atac a serverului dvs.

Securizare server Linux: ghid practic

Primul principiu al securității serverului este minimizarea suprafeței de atac: instalați și activați doar serviciile necesare, deschideți doar porturile necesare și acordați doar permisiunile minime necesare fiecărui utilizator și serviciu.

Al doilea principiu este actualizarea continuă. Vulnerabilitățile descoperite în software-ul de server sunt remediate prin actualizări. Un server neactualizat rămâne expus la vulnerabilități cunoscute, exploatabile prin tool-uri automate disponibile public.

Actualizări regulate de sistem

Pe Ubuntu/Debian: sudo apt update && sudo apt upgrade -y actualizează toate pachetele instalate. Configurați actualizările automate de securitate cu: sudo apt install unattended-upgrades && sudo dpkg-reconfigure unattended-upgrades. Aceasta instalează automat patch-urile de securitate critice fără intervenție manuală.

Verificați periodic actualizările disponibile și aplicați-le, mai ales pentru componentele critice: kernelul Linux, serverul web (Apache/Nginx), PHP, MySQL și OpenSSL. Vulnerabilitățile din aceste componente sunt țintele principale ale atacatorilor.

Securizarea accesului SSH

SSH este metoda principală de acces la server și deci prima țintă a atacatorilor. Configurarea corectă a SSH reduce dramatic riscul de compromitere.

Schimbați portul SSH implicit (22) cu unul mai puțin standard (ex: 2222, 22222). Aceasta nu elimină riscul dar reduce semnificativ numărul de atacuri automate care vizează exclusiv portul 22. Editați /etc/ssh/sshd_config și modificați: Port 2222.

Dezactivați login-ul root prin SSH: PermitRootLogin no în sshd_config. Folosiți în schimb un utilizator cu drepturi sudo. Atacatorii încearcă în mod automat combinații pentru utilizatorul root, care este prezent pe orice sistem Linux.

Autentificarea prin chei SSH este semnificativ mai sigură decât autentificarea prin parolă. Generați o pereche de chei pe calculatorul local (ssh-keygen), copiați cheia publică pe server (ssh-copy-id utilizator@server) și dezactivați autentificarea prin parolă: PasswordAuthentication no.

Restartați SSH după modificări: sudo systemctl restart sshd. Asigurați-vă că aveți o altă sesiune SSH deschisă în timp ce testați noile setări, pentru a nu vă bloca accesul la server.

Configurarea firewall-ului UFW

UFW (Uncomplicated Firewall) este interfața simplificată pentru iptables pe Ubuntu. Permite definirea rapidă a regulilor de acces la nivel de rețea.

Configurare de bază: sudo ufw default deny incoming (blochează toate conexiunile intrante implicit), sudo ufw default allow outgoing (permite toate conexiunile ieșite), sudo ufw allow SSH (sau portul custom ales), sudo ufw allow ‘Nginx Full’ (sau Apache Full), sudo ufw enable.

Deschideți doar porturile necesare aplicațiilor dvs. Un server web standard necesită: portul 22 (sau custom) pentru SSH, portul 80 pentru HTTP, portul 443 pentru HTTPS. Toate celelalte porturi rămân blocate.

Fail2ban pentru protecție anti-brute-force

Fail2ban monitorizează fișierele de log și blochează temporar adresele IP care încearcă atacuri brute-force. Instalare: sudo apt install fail2ban -y.

Configurați jailuri (reguli de blocare) pentru SSH, Apache/Nginx și alte servicii. Fișierul de configurare local: sudo nano /etc/fail2ban/jail.local. Setați: bantime = 3600 (blocare 1 oră), maxretry = 5 (blocare după 5 încercări eșuate), findtime = 600 (fereastra de 10 minute).

Verificați că fail2ban funcționează: sudo fail2ban-client status. Monitorizați IP-urile blocate: sudo fail2ban-client status sshd. Aceasta oferă o vizibilitate clară asupra tentativelor de atac.

Dezactivarea serviciilor nefolosite

Fiecare serviciu activ pe server este o potențială vulnerabilitate. Verificați serviciile active: sudo systemctl list-units –type=service –state=active. Dezactivați serviciile pe care nu le folosiți: sudo systemctl stop serviciu && sudo systemctl disable serviciu.

Servicii frecvent nefolosite pe servere web simple: Postfix (mail server local), RPC services, Bluetooth (pe servere virtuale). Verificați înainte de dezactivare că nu există dependențe.

Monitorizarea și auditarea

Logrotate asigură că fișierele de log nu ocupă spațiul pe disc. Este instalat implicit pe Ubuntu și configurabil în /etc/logrotate.conf.

Logwatch trimite rapoarte zilnice sumare despre activitatea serverului. sudo apt install logwatch -y. Configurați trimiterea rapoartelor la emailul dvs. pentru a fi notificat despre activitate neobișnuită fără să monitorizați manual logurile.

Securitatea serverului Linux este complementară cu securitatea WordPress instalat pe el. Un server bine securizat dar cu WordPress configurat insecur rămâne vulnerabil, și invers. Abordarea corectă acoperă ambele niveluri simultan, conform bunelor practici de administrare web.