How-To-Secure-A-Linux-Server — Пошаговое руководство по усилению безопасности Linux-сервера, охватывающее безопасность SSH, межсетевые экраны, обнаружение вторжений, аудит и настройку системы для уменьшения поверхности атаки и улучшения защиты. | Kitploit

...является работой в процессе.
...сосредоточено на домашних Linux-серверах. Все концепции/рекомендации здесь применимы и к более крупным/профессиональным средам, но такие сценарии требуют более продвинутых и специализированных конфигураций, которые выходят за рамки этого руководства.
...не учит вас Linux, установке Linux или его использованию. Загляните на https://linuxjourney.com/, если вы новичок в Linux.
...предназначено быть независимым от дистрибутива Linux.
...не рассказывает всё, что нужно знать о безопасности, и не углубляется во все аспекты безопасности системы/сервера. Например, физическая безопасность выходит за рамки этого руководства.
...не описывает работу программ/инструментов и не углубляется во все их тонкости. Большинство программ/инструментов, упомянутых в этом руководстве, очень мощные и настраиваемые. Цель — охватить самое необходимое — достаточно, чтобы разжечь аппетит и побудить вас узнать больше.
...стремится сделать всё просто, предоставляя код, который можно скопировать и вставить. Возможно, вам потребуется изменить команды перед вставкой, так что держите под рукой ваш любимый текстовый редактор.
...организован в порядке, который имеет для меня логический смысл — то есть защита SSH перед установкой межсетевого экрана. Таким образом, это руководство предполагается проходить в том порядке, в котором оно представлено, но это не обязательно. Просто будьте осторожны, если будете делать что-то в другом порядке — некоторые разделы требуют выполнения предыдущих.

Если вы открываете порты на маршрутизаторе для доступа к серверу извне, отключите перенаправление портов, пока система не будет поднята и защищена.
Если вы не делаете всё, физически подключившись к серверу, вам понадобится удалённый доступ, поэтому убедитесь, что SSH работает.
Поддерживайте систему в актуальном состоянии (например, sudo apt update && sudo apt upgrade в системах на базе Debian).
Убедитесь, что вы выполнили все задачи, специфичные для вашей настройки, такие как:
- Настройка сети
- Настройка точек монтирования в /etc/fstab
- Создание начальных учётных записей пользователей
- Установка базового ПО, которое вам понадобится, например man
- И т.д.
Ваш сервер должен иметь возможность отправлять электронные письма, чтобы вы могли получать важные оповещения безопасности. Если вы не настраиваете почтовый сервер, ознакомьтесь с разделом Gmail и Exim4 в качестве MTA с неявным TLS.
Я также рекомендую прочитать бенчмарки CIS перед началом работы с этим руководством, просто чтобы усвоить/понять, что они говорят. Моя рекомендация — сначала пройти это руководство (то, которое вы читаете), а затем руководство CIS. Таким образом, их рекомендации будут иметь приоритет над любыми рекомендациями в этом руководстве.

Измените все переменные в *group_vars/variables.yml* в соответствии с вашими потребностями.
6. Включите SSH-доступ от root перед запуском playbooks:  ```
nano /etc/ssh/sshd_config
[...]
PermitRootLogin yes
[...]

На компьютере, который вы будете использовать для подключения к вашему серверу, на клиенте, а не на самом сервере, создайте ключ Ed25519 с помощью ssh-keygen:

ssh-keygen -t ed25519

Generating public/private ed25519 key pair.
Enter file in which to save the key (/home/user/.ssh/id_ed25519):
Created directory '/home/user/.ssh'.
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/user/.ssh/id_ed25519.
Your public key has been saved in /home/user/.ssh/id_ed25519.pub.
The key fingerprint is:
SHA256:F44D4dr2zoHqgj0i2iVIHQ32uk/Lx4P+raayEAQjlcs user@client
The key's randomart image is:
+--[ED25519 256]--+
|xxxx  x          |
|o.o +. .         |
| o o oo   .      |
|. E oo . o .     |
| o o. o S o      |
|... .. o o       |
|.+....+ o        |
|+.=++o.B..       |
|+..=**=o=.       |
+----[SHA256]-----+

Примечание: Если вы установили кодовую фразу, вам нужно будет вводить её каждый раз при подключении к серверу с использованием этого ключа, если вы не используете ssh-agent.

Теперь вам нужно добавить публичный ключ ~/.ssh/id_ed25519.pub с вашего клиента в файл ~/.ssh/authorized_keys на вашем сервере. Поскольку мы, скорее всего, всё ещё в домашней локальной сети, мы, вероятно, в безопасности от атак MIM, поэтому мы воспользуемся ssh-copy-id для передачи и добавления публичного ключа:

ssh-copy-id user@server

/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/home/user/.ssh/id_ed25519.pub"
The authenticity of host 'host (192.168.1.96)' can't be established.
ECDSA key fingerprint is SHA256:QaDQb/X0XyVlogh87sDXE7MR8YIK7ko4wS5hXjRySJE.
Are you sure you want to continue connecting (yes/no)? yes
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
user@host's password:

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'user@host'"
and check to make sure that only the key(s) you wanted were added.

Создайте группу:
```
sudo groupadd sshusers
```
Добавьте учётные записи в группу:
```
sudo usermod -a -G sshusers user1
sudo usermod -a -G sshusers user2
sudo usermod -a -G sshusers ...
```
Это нужно сделать для каждой учётной записи на вашем сервере, которой требуется SSH-доступ.

Сделайте резервную копию конфигурационного файла OpenSSH-сервера /etc/ssh/sshd_config и удалите комментарии, чтобы его было легче читать:
```
sudo cp --archive /etc/ssh/sshd_config /etc/ssh/sshd_config-COPY-$(date +"%Y%m%d%H%M%S")
sudo sed -i -r -e '/^#|^$/ d' /etc/ssh/sshd_config
```

Отредактируйте /etc/ssh/sshd_config, затем найдите и отредактируйте или добавьте следующие настройки, которые должны применяться независимо от вашей конфигурации/настройки:

Примечание: SSH не любит дублирующиеся противоречащие настройки. Например, если у вас есть ChallengeResponseAuthentication no, а затем ChallengeResponseAuthentication yes, SSH будет учитывать первую настройку и игнорировать вторую. В вашем файле /etc/ssh/sshd_config уже могут быть некоторые из перечисленных ниже настроек/строк. Чтобы избежать проблем, вам нужно будет вручную просмотреть файл /etc/ssh/sshd_config и устранить любые дублирующиеся противоречащие настройки.

Примечание: Если вы используете OpenSSH 9.1 или новее, раскомментируйте строку RequiredRSASize 3072 в конфигурации ниже. Это устанавливает минимальный размер RSA-ключа в 3072 бит и будет отклонять более короткие RSA-ключи при аутентификации. Это касается только RSA-ключей. Если вы используете ключи ED25519 или ECDSA, это вас не касается. Вы можете проверить тип и размер вашего ключа с помощью ssh-keygen -l -f ~/.ssh/id_rsa. На более старых версиях OpenSSH оставьте строку закомментированной, так как это помешает запуску sshd.

########################################################################################################
# start settings from https://infosec.mozilla.org/guidelines/openssh#modern-openssh-67 as of 2019-01-01
########################################################################################################

# Supported HostKey algorithms by order of preference.
HostKey /etc/ssh/ssh_host_ed25519_key
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key

KexAlgorithms [email protected],ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha256

Ciphers [email protected],[email protected],[email protected],aes256-ctr,aes192-ctr,aes128-ctr

MACs [email protected],[email protected],hmac-sha2-512,hmac-sha2-256,[email protected]

# LogLevel VERBOSE logs user's key fingerprint on login. Needed to have a clear audit track of which key was using to log in.
LogLevel VERBOSE

# Use kernel sandbox mechanisms where possible in unprivileged processes
# Systrace on OpenBSD, Seccomp on Linux, seatbelt on MacOSX/Darwin, rlimit elsewhere.
# Note: This setting is deprecated in OpenSSH 7.5 (https://www.openssh.com/txt/release-7.5)
# UsePrivilegeSeparation sandbox

########################################################################################################
# end settings from https://infosec.mozilla.org/guidelines/openssh#modern-openssh-67 as of 2019-01-01
########################################################################################################

# don't let users set environment variables
PermitUserEnvironment no

# Log sftp level file access (read/write/etc.) that would not be easily logged otherwise.
Subsystem sftp  internal-sftp -f AUTHPRIV -l INFO

# disable X11 forwarding as X11 is very insecure
# you really shouldn't be running X on a server anyway
X11Forwarding no

# disable port forwarding
AllowTcpForwarding no
AllowStreamLocalForwarding no
GatewayPorts no
PermitTunnel no

# don't allow login if the account has an empty password
PermitEmptyPasswords no

# ignore .rhosts and .shosts
IgnoreRhosts yes

# verify hostname matches IP
UseDNS yes

Compression no

# TCP keepalive is spoofable (runs outside the encrypted channel)
# Use ClientAlive instead (runs inside the encrypted channel)
TCPKeepAlive no

AllowAgentForwarding no
PermitRootLogin no

# don't allow .rhosts or /etc/hosts.equiv
HostbasedAuthentication no

# OpenSSH 9.1 and later
# Enforce a minimum RSA key size of 3072 bits
# https://www.keylength.com/en/compare/
# RequiredRSASize 3072

# https://github.com/imthenachoman/How-To-Secure-A-Linux-Server/issues/115
HashKnownHosts yes

Затем найдите и отредактируйте или добавьте следующие настройки и укажите значения в соответствии с вашими требованиями:
Убедитесь, что нет дублирующихся настроек, которые противоречат друг другу. Следующая команда не должна выводить ничего.
```
awk 'NF && $1!~/^(#|HostKey)/{print $1}' /etc/ssh/sshd_config | sort | uniq -c | grep -v ' 1 '
```
Перезапустите ssh:
```
sudo service sshd restart
```

Вы можете проверить конфигурацию с помощью sshd -T и убедиться в правильности вывода:

sudo sshd -T

port 22
addressfamily any
listenaddress [::]:22
listenaddress 0.0.0.0:22
usepam yes
logingracetime 30
x11displayoffset 10
maxauthtries 2
maxsessions 2
clientaliveinterval 15
clientalivecountmax 3
streamlocalbindmask 0177
permitrootlogin no
ignorerhosts yes
ignoreuserknownhosts no
hostbasedauthentication no
...
subsystem sftp internal-sftp -f AUTHPRIV -l INFO
maxstartups 2:30:2
permittunnel no
ipqos lowdelay throughput
rekeylimit 0 0
permitopen any

Сделайте резервную копию файла модулей SSH /etc/ssh/moduli:
```
sudo cp --archive /etc/ssh/moduli /etc/ssh/moduli-COPY-$(date +"%Y%m%d%H%M%S")
```

Удалите короткие модули:

sudo awk '$5 >= 3071' /etc/ssh/moduli | sudo tee /etc/ssh/moduli.tmp
sudo mv /etc/ssh/moduli.tmp /etc/ssh/moduli

Установите libpam-google-authenticator.

В системах на основе Debian:
```
sudo apt install libpam-google-authenticator
```

Убедитесь, что вы вошли под тем ID, для которого хотите включить 2FA/MFA, и выполните google-authenticator, чтобы создать необходимые данные токена:

google-authenticator

Вы хотите, чтобы токены были привязаны ко времени (y/n) y
https://www.google.com/chart?chs=200x200&chld=M|0&cht=qr&chl=otpauth://totp/user@host%3Fsecret%3DR4ZWX34FQKZROVX7AGLJ64684Y%26issuer%3Dhost

...

Ваш новый секретный ключ: R3NVX3FFQKZROVX7AGLJUGGESY
Ваш проверочный код: 751419
Ваши аварийные коды для восстановления:
  12345678
  90123456
  78901234
  56789012
  34567890

Обновить файл "/home/user/.google_authenticator" (y/n) y

Запретить повторное использование одного и того же токена?
Это ограничит вас одним входом примерно каждые 30 секунд, но повысит
шансы заметить или предотвратить атаки «человек посередине» (y/n) y

По умолчанию токены действительны 30 секунд. Для компенсации
возможного расхождения времени между клиентом и сервером мы разрешаем
использовать дополнительный токен до и после текущего времени. Если у вас
проблемы с плохой синхронизацией времени, вы можете увеличить окно
с размера по умолчанию +-1 мин (размер окна 3) до примерно +-4 мин
(размер окна 17 допустимых токенов).
Вы хотите это сделать? (y/n) y

Если компьютер, на который вы входите, не защищён от атак перебором,
вы можете включить ограничение скорости для модуля аутентификации.
По умолчанию это ограничивает атакующих не более чем 3 попытками
входа каждые 30 секунд.
Включить ограничение скорости? (y/n) y

Обратите внимание: это не выполняется от root.

Выберите вариант по умолчанию (y в большинстве случаев) для всех вопросов и не забудьте сохранить аварийные коды для восстановления.

Сделайте резервную копию конфигурационного файла PAM для SSH /etc/pam.d/sshd:
```
sudo cp --archive /etc/pam.d/sshd /etc/pam.d/sshd-COPY-$(date +"%Y%m%d%H%M%S")
```
Теперь необходимо включить его как метод аутентификации для SSH, добавив эту строку в /etc/pam.d/sshd:
```
auth       required     pam_google_authenticator.so nullok
```
Примечание: Значение nullok описано здесь.

Для ленивых:
```
echo -e "\nauth       required     pam_google_authenticator.so nullok         # added by $(whoami) on $(date +"%Y-%m-%d @ %H:%M:%S")" | sudo tee -a /etc/pam.d/sshd
```

Сообщите SSH, чтобы он использовал это, добавив или отредактировав эту строку в /etc/ssh/sshd_config:

ChallengeResponseAuthentication yes

Для ленивых:

sudo sed -i -r -e "s/^(challengeresponseauthentication .*)$/# \1         # commented by $(whoami) on $(date +"%Y-%m-%d @ %H:%M:%S")/I" /etc/ssh/sshd_config
echo -e "\nChallengeResponseAuthentication yes         # added by $(whoami) on $(date +"%Y-%m-%d @ %H:%M:%S")" | sudo tee -a /etc/ssh/sshd_config

Перезапустите ssh:
```
sudo service sshd restart
```

Возможно, ваша установка уже сделала это или уже имеет специальную группу для этой цели — проверьте сначала.
- Debian создаёт группу sudo. Чтобы просмотреть пользователей, входящих в эту группу (имеющих привилегии sudo):
```
cat /etc/group | grep "sudo"
```
- RedHat создаёт группу wheel
См. https://github.com/imthenachoman/How-To-Secure-A-Linux-Server/issues/39 — замечание о некоторых дистрибутивах, где sudo не требует пароля. Спасибо sbrl за информацию.

Создайте группу:
```
sudo groupadd sudousers
```
Добавьте учётную запись(и) в группу:
```
sudo usermod -a -G sudousers user1
sudo usermod -a -G sudousers user2
sudo usermod -a -G sudousers  ...
```
Это нужно сделать для каждой учётной записи на вашем сервере, которой требуются привилегии sudo.
Сделайте резервную копию файла конфигурации sudo /etc/sudoers:
```
sudo cp --archive /etc/sudoers /etc/sudoers-COPY-$(date +"%Y%m%d%H%M%S")
```
Отредактируйте файл конфигурации sudo /etc/sudoers:
```
sudo visudo
```
Сообщите sudo, что только пользователи из группы sudousers могут использовать sudo, добавив эту строку, если её ещё нет:
```
%sudousers   ALL=(ALL:ALL) ALL
```

Создайте группу:
```
sudo groupadd suusers
```
Добавьте учётную запись(и) в группу:
```
sudo usermod -a -G suusers user1
sudo usermod -a -G suusers user2
sudo usermod -a -G suusers  ...
```
Это нужно сделать для каждой учётной записи на вашем сервере, которой требуются привилегии sudo.
Сделайте так, чтобы только пользователи из этой группы могли выполнять /bin/su:
```
sudo dpkg-statoverride --update --add root suusers 4750 /bin/su
```

Установите программное обеспечение:
```
sudo apt install firejail firejail-profiles
```
Примечание: для Debian 10 Stable рекомендуется официальный Backport:
```
sudo apt install -t buster-backports firejail firejail-profiles
```

Разрешите приложению (установленному в /usr/bin или /bin) запускаться только в песочнице (см. несколько примеров ниже):

sudo ln -s /usr/bin/firejail /usr/local/bin/google-chrome-stable
sudo ln -s /usr/bin/firejail /usr/local/bin/firefox
sudo ln -s /usr/bin/firejail /usr/local/bin/chromium
sudo ln -s /usr/bin/firejail /usr/local/bin/evolution
sudo ln -s /usr/bin/firejail /usr/local/bin/thunderbird

Запустите приложение как обычно (через терминал или лаунчер) и проверьте, работает ли оно в jail:
```
firejail --list
```
Чтобы разрешить приложению, запущенному в песочнице, снова работать как прежде (пример: firefox):
```
sudo rm /usr/local/bin/firefox
```

Включите синхронизацию NTP:
```
sudo timedatectl set-ntp true
```
Проверьте, что она работает:
```
timedatectl status
```
В выводе должно быть NTP service: active и System clock synchronized: yes.

Настройте доверенные NTP-серверы. Сделайте резервную копию файла конфигурации, затем отредактируйте его:

sudo cp --archive /etc/systemd/timesyncd.conf /etc/systemd/timesyncd.conf-COPY-$(date +"%Y%m%d%H%M%S")

Отредактируйте /etc/systemd/timesyncd.conf и раскомментируйте/задайте секцию [Time]:

[Time]
NTP=pool.ntp.org
FallbackNTP=0.debian.pool.ntp.org 1.debian.pool.ntp.org 2.debian.pool.ntp.org

Для ленивых:

sudo sed -i -r -e "s/^#?NTP=.*$/NTP=pool.ntp.org         # added by $(whoami) on $(date +"%Y-%m-%d @ %H:%M:%S")/" /etc/systemd/timesyncd.conf
sudo sed -i -r -e "s/^#?FallbackNTP=.*$/FallbackNTP=0.debian.pool.ntp.org 1.debian.pool.ntp.org 2.debian.pool.ntp.org         # added by $(whoami) on $(date +"%Y-%m-%d @ %H:%M:%S")/" /etc/systemd/timesyncd.conf

Перезапустите службу для применения изменений:
```
sudo systemctl restart systemd-timesyncd
```

Проверьте статус синхронизации:

timedatectl timesync-status

       Server: 108.61.56.35 (pool.ntp.org)
Poll interval: 32s (min: 32s; max: 34min 8s)
         Leap: normal
      Version: 4
      Stratum: 2
    Reference: C342F10A
    Precision: 1us (2^0)
 Root distance: 24.054ms (max: 5s)
       Offset: +2.156ms
        Delay: 48.567ms
       Jitter: 1.452ms
 Packet count: 3

Установите ntp.

В системах на основе Debian:
```
sudo apt install ntp
```
Сделайте резервную копию конфигурационного файла NTP-клиента /etc/ntp.conf:
```
sudo cp --archive /etc/ntp.conf /etc/ntp.conf-COPY-$(date +"%Y%m%d%H%M%S")
```

Конфигурация по умолчанию, по крайней мере в Debian, уже достаточно безопасна. Единственное, что нужно сделать — убедиться, что используется директива pool, а не server. Директива pool позволяет NTP-клиенту прекратить использование сервера, если он не отвечает или выдаёт неверное время. Для этого закомментируйте все директивы server и добавьте в /etc/ntp.conf следующее:

pool pool.ntp.org iburst

Для ленивых:

sudo sed -i -r -e "s/^((server|pool).*)/# \1         # commented by $(whoami) on $(date +"%Y-%m-%d @ %H:%M:%S")/" /etc/ntp.conf
echo -e "\npool pool.ntp.org iburst         # added by $(whoami) on $(date +"%Y-%m-%d @ %H:%M:%S")" | sudo tee -a /etc/ntp.conf

Пример /etc/ntp.conf:

driftfile /var/lib/ntp/ntp.drift
statistics loopstats peerstats clockstats
filegen loopstats file loopstats type day enable
filegen peerstats file peerstats type day enable
filegen clockstats file clockstats type day enable
restrict -4 default kod notrap nomodify nopeer noquery limited
restrict -6 default kod notrap nomodify nopeer noquery limited
restrict 127.0.0.1
restrict ::1
restrict source notrap nomodify noquery
pool pool.ntp.org iburst         # добавлено пользователем 2019-03-09 в 10:23:35

Перезапустите ntp:
```
sudo service ntp restart
```

Проверьте статус службы ntp:

sudo systemctl status ntp

● ntp.service - LSB: Start NTP daemon
   Loaded: loaded (/etc/init.d/ntp; generated; vendor preset: enabled)
   Active: active (running) since Sat 2019-03-09 15:19:46 EST; 4s ago
     Docs: man:systemd-sysv-generator(8)
  Process: 1016 ExecStop=/etc/init.d/ntp stop (code=exited, status=0/SUCCESS)
  Process: 1028 ExecStart=/etc/init.d/ntp start (code=exited, status=0/SUCCESS)
    Tasks: 2 (limit: 4915)
   CGroup: /system.slice/ntp.service
           └─1038 /usr/sbin/ntpd -p /var/run/ntpd.pid -g -u 108:113

Mar 09 15:19:46 host ntpd[1038]: Listen and drop on 0 v6wildcard [::]:123
Mar 09 15:19:46 host ntpd[1038]: Listen and drop on 1 v4wildcard 0.0.0.0:123
Mar 09 15:19:46 host ntpd[1038]: Listen normally on 2 lo 127.0.0.1:123
Mar 09 15:19:46 host ntpd[1038]: Listen normally on 3 enp0s3 10.10.20.96:123
Mar 09 15:19:46 host ntpd[1038]: Listen normally on 4 lo [::1]:123
Mar 09 15:19:46 host ntpd[1038]: Listen normally on 5 enp0s3 [fe80::a00:27ff:feb6:ed8e%2]:123
Mar 09 15:19:46 host ntpd[1038]: Listening on routing socket on fd #22 for interface updates
Mar 09 15:19:47 host ntpd[1038]: Soliciting pool server 108.61.56.35
Mar 09 15:19:48 host ntpd[1038]: Soliciting pool server 69.89.207.199
Mar 09 15:19:49 host ntpd[1038]: Soliciting pool server 45.79.111.114

Проверьте статус ntp:

sudo ntpq -p

     remote           refid      st t when poll reach   delay   offset  jitter
==============================================================================
 pool.ntp.org    .POOL.          16 p    -   64    0    0.000    0.000   0.000
*lithium.constan 198.30.92.2      2 u    -   64    1   19.900    4.894   3.951
 ntp2.wiktel.com 212.215.1.157    2 u    2   64    1   48.061   -0.431   0.104

Сделайте резервную копию /etc/fstab:
```
sudo cp --archive /etc/fstab /etc/fstab-COPY-$(date +"%Y%m%d%H%M%S")
```

Добавьте эту строку в /etc/fstab, чтобы /proc монтировался с hidepid=2:

proc     /proc     proc     defaults,hidepid=2     0     0

Для ленивых:

echo -e "\nproc     /proc     proc     defaults,hidepid=2     0     0         # added by $(whoami) on $(date +"%Y-%m-%d @ %H:%M:%S")" | sudo tee -a /etc/fstab

Перезагрузите систему:
```
sudo reboot now
```
Примечание: Как вариант, можно перемонтировать /proc без перезагрузки с помощью sudo mount -o remount,hidepid=2 /proc.

Установите libpam-pwquality.

В системах на основе Debian:
```
sudo apt install libpam-pwquality
```
Сделайте резервную копию файла конфигурации паролей PAM /etc/pam.d/common-password:
```
sudo cp --archive /etc/pam.d/common-password /etc/pam.d/common-password-COPY-$(date +"%Y%m%d%H%M%S")
```
Укажите PAM использовать libpam-pwquality для принудительного применения надёжных паролей, отредактировав файл /etc/pam.d/common-password и изменив строку, которая начинается так:
```
password        requisite                       pam_pwquality.so
```
на это:
```
password        requisite                       pam_pwquality.so retry=3 minlen=10 difok=3 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 maxrepeat=3 gecoschec
```
Приведённые выше параметры означают:
- retry=3 = запрашивать у пользователя 3 раза перед возвратом ошибки.
- minlen=10 = минимальная длина пароля с учётом любых кредитов (или дебетов) от:
  - dcredit=-1 = должен содержать хотя бы одну цифру
  - ucredit=-1 = должен содержать хотя бы одну заглавную букву
  - lcredit=-1 = должен содержать хотя бы одну строчную букву
  - ocredit=-1 = должен содержать хотя бы один не буквенно-цифровой символ
- difok=3 = как минимум 3 символа нового пароля не должны были быть в старом пароле
- maxrepeat=3 = разрешено не более 3 повторяющихся символов подряд
- gecoschec = не допускать пароли, содержащие имя учётной записи
Для ленивых:
```
sudo sed -i -r -e "s/^(password\s+requisite\s+pam_pwquality.so)(.*)$/# \1\2         # commented by $(whoami) on $(date +"%Y-%m-%d @ %H:%M:%S")\n\1 retry=3 minlen=10 difok=3 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 maxrepeat=3 gecoschec         # added by $(whoami) on $(date +"%Y-%m-%d @ %H:%M:%S")/" /etc/pam.d/common-password
```

Установите unattended-upgrades, apt-listchanges и apticron:
```
sudo apt install unattended-upgrades apt-listchanges apticron
```

Теперь нужно настроить unattended-upgrades для автоматического применения обновлений. Обычно это делается редактированием файлов /etc/apt/apt.conf.d/20auto-upgrades и /etc/apt/apt.conf.d/50unattended-upgrades, созданных пакетами. Однако, поскольку эти файлы могут быть перезаписаны при будущем обновлении, мы создадим новый файл. Создайте файл /etc/apt/apt.conf.d/51myunattended-upgrades и добавьте в него следующее:

// Включить скрипт обновления/апгрейда (0=отключить)
APT::Periodic::Enable "1";

// Автоматически выполнять "apt-get update" каждые n дней (0=отключить)
APT::Periodic::Update-Package-Lists "1";

// Выполнять "apt-get upgrade --download-only" каждые n дней (0=отключить)
APT::Periodic::Download-Upgradeable-Packages "1";

// Выполнять "apt-get autoclean" каждые n дней (0=отключить)
APT::Periodic::AutocleanInterval "7";

// Отправлять отчёт по почте root
//     0:  не отправлять отчёт       (или пустая строка)
//     1:  отчёт о прогрессе        (фактически любая строка)
//     2:  + вывод команд           (убрать -qq, убрать 2>/dev/null, добавить -d)
//     3:  + трассировка   APT::Periodic::Verbose "2";
APT::Periodic::Unattended-Upgrade "1";

// Автоматически обновлять пакеты из этих
Unattended-Upgrade::Origins-Pattern {
      "o=Debian,a=stable";
      "o=Debian,a=stable-updates";
      "origin=Debian,codename=${distro_codename},label=Debian-Security";
};

// Здесь можно указать собственные пакеты, которые НЕ будут автоматически обновляться
Unattended-Upgrade::Package-Blacklist {
};

// Запускать dpkg --force-confold --configure -a, если обнаружено грязное состояние dpkg, чтобы гарантировать установку обновлений, даже если система была прервана во время предыдущего запуска
Unattended-Upgrade::AutoFixInterruptedDpkg "true";

// Выполнять обновление, когда машина работает, так как мы не будем часто выключать сервер
Unattended-Upgrade::InstallOnShutdown "false";

// Отправлять письмо на этот адрес с информацией о обновлённых пакетах.
Unattended-Upgrade::Mail "root";

// Всегда отправлять письмо
Unattended-Upgrade::MailOnlyOnError "false";

// Удалять все неиспользуемые зависимости после завершения обновления
Unattended-Upgrade::Remove-Unused-Dependencies "true";

// Удалять любые новые неиспользуемые зависимости после завершения обновления
Unattended-Upgrade::Remove-New-Unused-Dependencies "true";

// Автоматически перезагружать БЕЗ ПОДТВЕРЖДЕНИЯ, если после обновления найден файл /var/run/reboot-required.
Unattended-Upgrade::Automatic-Reboot "true";

// Автоматически перезагружать, даже если пользователи вошли в систему.
Unattended-Upgrade::Automatic-Reboot-WithUsers "true";

Примечания:

Проверьте /usr/lib/apt/apt.systemd.daily для получения подробной информации о параметрах APT::Periodic
Проверьте https://github.com/mvo5/unattended-upgrades для получения подробной информации о параметрах Unattended-Upgrade

Выполните пробный запуск unattended-upgrades, чтобы убедиться, что ваш конфигурационный файл корректен:
```
sudo unattended-upgrade -d --dry-run
```
Если всё в порядке, вы можете позволить ему запускаться по расписанию или принудительно запустить с помощью unattended-upgrade -d.
Настройте apt-listchanges по своему усмотрению:
```
sudo dpkg-reconfigure apt-listchanges
```
Для apticron настройки по умолчанию достаточно хороши, но вы можете проверить их в /etc/apticron/apticron.conf, если хотите изменить. Например, моя конфигурация выглядит так:
```
EMAIL="root"
NOTIFY_NO_UPDATES="1"
```

Установите rng-tools.

В системах на основе Debian:
```
sudo apt-get install rng-tools
```
Теперь нужно указать аппаратное устройство, используемое для генерации случайных чисел, добавив это в /etc/default/rng-tools:
```
HRNGDEVICE=/dev/urandom
```
Для ленивых:
```
echo "HRNGDEVICE=/dev/urandom" | sudo tee -a /etc/default/rng-tools
```

Перезапустите службу:

sudo systemctl stop rng-tools.service
sudo systemctl start rng-tools.service

Проверьте случайность:
- https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/security_guide/sect-security_guide-encryption-using_the_random_number_generator
- https://wiki.archlinux.org/index.php/Rng-tools

([Содержание](#table-of-contents))

## Сеть

### Брандмауэр с UFW (Uncomplicated Firewall)

#### Зачем

Можете считать меня параноиком, и вы не обязаны соглашаться, но я хочу запретить весь входящий и исходящий трафик на моем сервере, кроме того, что я явно разрешаю. Зачем моему серверу отправлять трафик, о котором я не знаю? И зачем внешнему трафику пытаться получить доступ к моему серверу, если я не знаю, кто или что это? Когда речь идет о хорошей безопасности, я считаю, что лучше отклонять/запрещать по умолчанию, а разрешать в порядке исключения.

Конечно, если вы не согласны, это совершенно нормально, и вы можете настроить UFW под свои нужды.

В любом случае, обеспечение того, чтобы разрешался только явно нами разрешенный трафик — это задача брандмауэра.

#### Как это работает

Ядро Linux предоставляет возможности для мониторинга и управления сетевым трафиком. Эти возможности становятся доступны конечному пользователю через утилиты брандмауэра. В Linux самым распространенным брандмауэром является [iptables](https://en.wikipedia.org/wiki/Iptables). Однако iptables довольно сложен и запутан (на мой взгляд). Здесь на помощь приходит UFW. Думайте о UFW как о интерфейсе для iptables. Он упрощает процесс управления правилами iptables, которые сообщают ядру Linux, что делать с сетевым трафиком.

**UFW** работает, позволяя вам настраивать правила, которые:

- **разрешают** или **запрещают**
- **входящий** или **исходящий** трафик
- **на** или **с** портов

Вы можете создавать правила, явно указывая порты или с помощью конфигураций приложений, которые указывают порты.

#### Цели

- весь сетевой трафик, входящий и исходящий, заблокирован, кроме того, что мы явно разрешаем

#### Примечания

- По мере установки других программ, вам нужно будет включать необходимые порты/приложения.

#### Ссылки

- https://launchpad.net/ufw

#### Шаги

1. Установите ufw.

   На системах на основе Debian:

   ``` bash
   sudo apt install ufw
   ```

1. Запретите весь исходящий трафик:

   ``` bash
   sudo ufw default deny outgoing comment 'deny all outgoing traffic'
   ```

   > ```
   > Default outgoing policy changed to 'deny'
   > (be sure to update your rules accordingly)
   > ```

   Если вы не так параноидальны, как я, и не хотите запрещать весь исходящий трафик, вы можете его разрешить:

   ``` bash
   sudo ufw default allow outgoing comment 'allow all outgoing traffic'
   ```

1. Запретите весь входящий трафик:

   ``` bash
   sudo ufw default deny incoming comment 'deny all incoming traffic'
   ```

1. Очевидно, мы хотим разрешить SSH-подключения. Использование `limit` вместо `allow` автоматически заблокирует подключения с IP-адреса, если он попытается установить 6 или более подключений за 30-секундный интервал:

   ``` bash
   sudo ufw limit in ssh comment 'allow SSH connections in'
   ```

   > ```
   > Rules updated
   > Rules updated (v6)
   > ```

1. Разрешите дополнительный трафик по вашему усмотрению. Некоторые распространенные примеры использования:

   ``` bash
   # allow traffic out to port 53 -- DNS
   sudo ufw allow out 53 comment 'allow DNS calls out'
   
   # allow traffic out to port 123 -- NTP
   sudo ufw allow out 123 comment 'allow NTP out'

   # allow traffic out for HTTP, HTTPS, or FTP
   # apt might needs these depending on which sources you're using
   sudo ufw allow out http comment 'allow HTTP traffic out'
   sudo ufw allow out https comment 'allow HTTPS traffic out'
   sudo ufw allow out ftp comment 'allow FTP traffic out'

   # allow whois
   sudo ufw allow out whois comment 'allow whois'
   
   # allow mails for status notifications -- choose port according to your provider
   sudo ufw allow out 25 comment 'allow SMTP out'
   sudo ufw allow out 587 comment 'allow SMTP out'

   # allow traffic out to port 68 -- the DHCP client
   # you only need this if you're using DHCP
   sudo ufw allow out 67 comment 'allow the DHCP client to update'
   sudo ufw allow out 68 comment 'allow the DHCP client to update'
   ```
   
   **Примечание**: Вам нужно будет разрешить HTTP/HTTPS для установки пакетов и многих других вещей.

1. Запустите ufw:

   ``` bash
   sudo ufw enable
   ```

   > ```
   > Command may disrupt existing ssh connections. Proceed with operation (y|n)? y
   > Firewall is active and enabled on system startup
   > ```

1. Если хотите увидеть статус:

   ``` bash
   sudo ufw status
   ```

   > ```
   > Status: active
   > 
   > To                         Action      From
   > --                         ------      ----
   > 22/tcp                     LIMIT       Anywhere                   # allow SSH connections in
   > 22/tcp (v6)                LIMIT       Anywhere (v6)              # allow SSH connections in
   > 
   > 53                         ALLOW OUT   Anywhere                   # allow DNS calls out
   > 123                        ALLOW OUT   Anywhere                   # allow NTP out
   > 80/tcp                     ALLOW OUT   Anywhere                   # allow HTTP traffic out
   > 443/tcp                    ALLOW OUT   Anywhere                   # allow HTTPS traffic out
   > 21/tcp                     ALLOW OUT   Anywhere                   # allow FTP traffic out
   > Mail submission            ALLOW OUT   Anywhere                   # allow mail out
   > 43/tcp                     ALLOW OUT   Anywhere                   # allow whois
   > 53 (v6)                    ALLOW OUT   Anywhere (v6)              # allow DNS calls out
   > 123 (v6)                   ALLOW OUT   Anywhere (v6)              # allow NTP out
   > 80/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow HTTP traffic out
   > 443/tcp (v6)               ALLOW OUT   Anywhere (v6)              # allow HTTPS traffic out
   > 21/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow FTP traffic out
   > Mail submission (v6)       ALLOW OUT   Anywhere (v6)              # allow mail out
   > 43/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow whois
   > ```

   или

   ``` bash
   sudo ufw status verbose
   ```

   > ```
   > Status: active
   > Logging: on (low)
   > Default: deny (incoming), deny (outgoing), disabled (routed)
   > New profiles: skip
   > 
   > To                         Action      From
   > --                         ------      ----
   > 22/tcp                     LIMIT IN    Anywhere                   # allow SSH connections in
   > 22/tcp (v6)                LIMIT IN    Anywhere (v6)              # allow SSH connections in
   > 
   > 53                         ALLOW OUT   Anywhere                   # allow DNS calls out
   > 123                        ALLOW OUT   Anywhere                   # allow NTP out
   > 80/tcp                     ALLOW OUT   Anywhere                   # allow HTTP traffic out
   > 443/tcp                    ALLOW OUT   Anywhere                   # allow HTTPS traffic out
   > 21/tcp                     ALLOW OUT   Anywhere                   # allow FTP traffic out
   > 587/tcp (Mail submission)  ALLOW OUT   Anywhere                   # allow mail out
   > 43/tcp                     ALLOW OUT   Anywhere                   # allow whois
   > 53 (v6)                    ALLOW OUT   Anywhere (v6)              # allow DNS calls out
   > 123 (v6)                   ALLOW OUT   Anywhere (v6)              # allow NTP out
   > 80/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow HTTP traffic out
   > 443/tcp (v6)               ALLOW OUT   Anywhere (v6)              # allow HTTPS traffic out
   > 21/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow FTP traffic out
   > 587/tcp (Mail submission (v6)) ALLOW OUT   Anywhere (v6)              # allow mail out
   > 43/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow whois
   > ```

7. Если нужно удалить правило

   ``` bash
   sudo ufw status numbered
   [...]
   sudo ufw delete 3 #номер строки правила, которое вы хотите удалить
   ```

#### Приложения по умолчанию

ufw поставляется с некоторыми приложениями по умолчанию. Вы можете их увидеть с помощью:``` bash
sudo ufw app list
```
```
> ```
> Available applications:
>   AIM
>   Bonjour
>   CIFS
>   DNS
>   Deluge
>   IMAP
>   IMAPS
>   IPP
>   KTorrent
>   Kerberos Admin
>   Kerberos Full
>   Kerberos KDC
>   Kerberos Password
>   LDAP
>   LDAPS
>   LPD
>   MSN
>   MSN SSL
>   Mail submission
>   NFS
>   OpenSSH
>   POP3
>   POP3S
>   PeopleNearby
>   SMTP
>   SSH
>   Socks
>   Telnet
>   Transmission
>   Transparent Proxy
>   VNC
>   WWW
>   WWW Cache
>   WWW Full
>   WWW Secure
>   XMPP
>   Yahoo
>   qBittorrent
>   svnserve
> ```

Чтобы получить подробную информацию о приложении, например, какие порты оно включает, введите:``` bash
sudo ufw app info [app name]
```
> ``` bash
> sudo ufw app info DNS
> ```
> 
> ```
> Profile: DNS
> Title: Internet Domain Name Server
> Description: Internet Domain Name Server
> 
> Port:
>   53
> ```

#### Пользовательское приложение

Если вы не хотите создавать правила, явно указывая номера портов, вы можете создать свои собственные конфигурации приложений. Для этого создайте файл в `/etc/ufw/applications.d`.

Например, вот что вы бы использовали для [Plex](https://support.plex.tv/articles/201543147-what-network-ports-do-i-need-to-allow-through-my-firewall/):``` bash
cat /etc/ufw/applications.d/plexmediaserver
```
> ```
> [PlexMediaServer]
> title=Plex Media Server
> description=This opens up PlexMediaServer for http (32400), upnp, and autodiscovery.
> ports=32469/tcp|32413/udp|1900/udp|32400/tcp|32412/udp|32410/udp|32414/udp|32400/udp
> ```

Затем вы можете включить его, как и любое другое приложение:```bash
sudo ufw allow plexmediaserver
```
([Содержание](#table-of-contents))

### Обнаружение и предотвращение вторжений iptables с помощью PSAD

#### Зачем

Даже если у вас есть брандмауэр, охраняющий ваши двери, всё равно возможны попытки грубой силы проникнуть через охраняемые двери. Мы хотим отслеживать всю сетевую активность, чтобы обнаруживать потенциальные попытки вторжения, такие как повторные попытки войти, и блокировать их.

#### Как это работает

Я не смогу объяснить это лучше, чем пользователь [FINESEC](https://serverfault.com/users/143961/finesec) с https://serverfault.com/ сделал на: https://serverfault.com/a/447604/289829.

> Fail2BAN просматривает файлы журналов различных приложений, таких как apache, ssh или ftp, и автоматически блокирует IP-адреса, проявляющие признаки вредоносной активности, например автоматические попытки входа. PSAD, с другой стороны, сканирует сообщения журнала iptables и ip6tables (обычно /var/log/messages), чтобы обнаруживать и при необходимости блокировать сканирование и другие виды подозрительного трафика, такие как DDoS или попытки определения отпечатков ОС. Использование обеих программ одновременно допустимо, так как они работают на разных уровнях.

И, поскольку мы уже используем [UFW](#ufw-uncomplicated-firewall), мы последуем отличным инструкциям от [netson](https://gist.github.com/netson) на https://gist.github.com/netson/c45b2dc4e835761fbccc, чтобы заставить PSAD работать с UFW.

#### Ссылки

- http://www.cipherdyne.org/psad/
- http://www.cipherdyne.org/psad/docs/config.html
- https://www.thefanclub.co.za/how-to/how-install-psad-intrusion-detection-ubuntu-1204-lts-server
- https://serverfault.com/a/447604/289829
- https://serverfault.com/a/770424/289829
- https://gist.github.com/netson/c45b2dc4e835761fbccc
- Спасибо [moltenbit](https://github.com/moltenbit) за обнаружение проблемы ([#61](https://github.com/imthenachoman/How-To-Secure-A-Linux-Server/issues/61)) с `psadwatchd`.

#### Шаги

1. Установите psad.

   В системах на основе Debian:

   ``` bash
   sudo apt install psad
   ```

1. Сделайте резервную копию конфигурационного файла psad `/etc/psad/psad.conf`:

   ``` bash
   sudo cp --archive /etc/psad/psad.conf /etc/psad/psad.conf-COPY-$(date +"%Y%m%d%H%M%S")
   ```

1. Просмотрите и обновите параметры конфигурации в `/etc/psad/psad.conf`. Обратите особое внимание на следующие:

  |Настройка|Установить как
  |--|--|
  |[`EMAIL_ADDRESSES`](http://www.cipherdyne.org/psad/docs/config.html#EMAIL_ADDRESSES)|ваш(и) адрес(а) электронной почты|
  |`HOSTNAME`|имя хоста вашего сервера|
  |`EXPECT_TCP_OPTIONS`|`EXPECT_TCP_OPTIONS Y;`|
  |`ENABLE_PSADWATCHD`|`ENABLE_PSADWATCHD Y;`|
  |[`ENABLE_AUTO_IDS`](http://www.cipherdyne.org/psad/docs/config.html#ENABLE_AUTO_IDS)|`ENABLE_AUTO_IDS Y;`|
  |`ENABLE_AUTO_IDS_EMAILS`|`ENABLE_AUTO_IDS_EMAILS Y;`|

  Проверьте конфигурационный файл и документацию psad по адресу http://www.cipherdyne.org/psad/docs/config.html для получения дополнительных сведений.

1. <a name="psad_step4"></a>Теперь нам нужно внести некоторые изменения в ufw, чтобы он работал с psad: сообщить ufw, чтобы он регистрировал весь трафик, чтобы psad мог его анализировать. Для этого отредактируйте **два файла** и добавьте эти строки **в конце, но перед строкой COMMIT**.

   Сделайте резервные копии:

   ``` bash
   sudo cp --archive /etc/ufw/before.rules /etc/ufw/before.rules-COPY-$(date +"%Y%m%d%H%M%S")
   sudo cp --archive /etc/ufw/before6.rules /etc/ufw/before6.rules-COPY-$(date +"%Y%m%d%H%M%S")
   ```

   Отредактируйте файлы:

   - `/etc/ufw/before.rules`
   - `/etc/ufw/before6.rules`

   И добавьте это **в конце, но перед строкой COMMIT**:

   ```
   # log all traffic so psad can analyze
   -A INPUT -j LOG --log-tcp-options --log-prefix "[IPTABLES] "
   -A FORWARD -j LOG --log-tcp-options --log-prefix "[IPTABLES] "
   ```

   **Примечание**: Мы добавляем префикс журнала ко всем записям iptables. Это понадобится нам для [выделения журналов iptables в отдельный файл](#separate-iptables-log-file).

   Например:

   > ```
   > ...
   > 
   > # log all traffic so psad can analyze
   > -A INPUT -j LOG --log-tcp-options --log-prefix "[IPTABLES] "
   > -A FORWARD -j LOG --log-tcp-options --log-prefix "[IPTABLES] "
   > 
   > # don't delete the 'COMMIT' line or these rules won't be processed
   > COMMIT
   > ```

1. Теперь необходимо перезагрузить/перезапустить ufw и psad, чтобы изменения вступили в силу:

   ``` bash
   sudo ufw reload

   sudo psad -R
   sudo psad --sig-update
   sudo psad -H
   ```

1. Проанализируйте правила iptables на наличие ошибок:

   ``` bash
   sudo psad --fw-analyze
   ```

   > ```
   > [+] Parsing INPUT chain rules.
   > [+] Parsing INPUT chain rules.
   > [+] Firewall config looks good.
   > [+] Completed check of firewall ruleset.
   > [+] Results in /var/log/psad/fw_check
   > [+] Exiting.
   > ```

   **Примечание**: Если возникли какие-либо проблемы, вы получите электронное письмо с ошибкой.

1. Проверьте состояние psad:

   ``` bash
   sudo psad --Status
   ```

   > ```
   > [-] psad: pid file /var/run/psad/psadwatchd.pid does not exist for psadwatchd on vm
   > [+] psad_fw_read (pid: 3444)  %CPU: 0.0  %MEM: 2.2
   >     Running since: Sat Feb 16 01:03:09 2019
   > 
   > [+] psad (pid: 3435)  %CPU: 0.2  %MEM: 2.7
   >     Running since: Sat Feb 16 01:03:09 2019
   >     Command line arguments: [none specified]
   >     Alert email address(es): root@localhost
   > 
   > [+] Version: psad v2.4.3
   > 
   > [+] Top 50 signature matches:
   >         [NONE]
   > 
   > [+] Top 25 attackers:
   >         [NONE]
   > 
   > [+] Top 20 scanned ports:
   >         [NONE]
   > 
   > [+] iptables log prefix counters:
   >         [NONE]
   > 
   >     Total protocol packet counters:
   > 
   > [+] IP Status Detail:
   >         [NONE]
   > 
   >     Total scan sources: 0
   >     Total scan destinations: 0
   > 
   > [+] These results are available in: /var/log/psad/status.out
   > ```

([Содержание](#table-of-contents))

### Обнаружение и предотвращение вторжений приложений с помощью Fail2Ban

#### Зачем

AllowGroups	имя локальной группы UNIX	`AllowGroups sshusers`	группа, которой разрешён доступ по SSH
ClientAliveCountMax	число	`ClientAliveCountMax 3`	максимальное количество сообщений клиенту о поддержании активности без ответа
ClientAliveInterval	число секунд	`ClientAliveInterval 15`	тайм-аут в секундах перед запросом ответа
ListenAddress	разделённый пробелами список локальных адресов	`ListenAddress 0.0.0.0` `ListenAddress 192.168.1.100`	локальные адреса, которые `sshd` должен прослушивать	См. Issue #1 для важных деталей.
LoginGraceTime	число секунд	`LoginGraceTime 30`	время в секундах до истечения времени входа
MaxAuthTries	число	`MaxAuthTries 2`	максимальное количество разрешённых попыток входа
MaxSessions	число	`MaxSessions 2`	максимальное количество открытых сессий
MaxStartups	число	`MaxStartups 2`	максимальное количество сессий входа
PasswordAuthentication	`yes` или `no`	`PasswordAuthentication no`	разрешён ли вход с паролем
Port	любой открытый/доступный номер порта	`Port 22`	порт, который `sshd` должен прослушивать

How-To-Secure-A-Linux-Server

Популярное

How To Secure A Linux Server

Содержание

Введение

Цель руководства

Зачем защищать свой сервер

Зачем ещё одно руководство

Другие руководства

Что нужно сделать / Добавить

Обзор руководства

Об этом руководстве

Мой сценарий использования

Редактирование конфигурационных файлов — для ленивых

Участие

Перед началом

Определите свои принципы

Выбор дистрибутива Linux

Установка Linux

Требования до/после установки

Другие важные замечания

Использование Ansible playbook для защиты Linux-сервера

SSH-сервер

Важное примечание перед внесением изменений в SSH

Публичные/приватные ключи SSH

Зачем

Как это работает

Цели

Примечания

Ссылки

Шаги

Создание группы SSH для AllowGroups

Зачем

Как это работает

Цели

Примечания

Ссылки

Шаги

Защита /etc/ssh/sshd_config

Зачем

Как это работает

Цели

Примечания

Ссылки

Шаги

Удаление коротких ключей Диффи-Хеллмана

Зачем

Цели

Ссылки

Шаги

2FA/MFA для SSH

Зачем

Почему нет

Как это работает

Цели

Примечания

Ссылки

Шаги

Основы

Ограничение доступа к sudo

Зачем

Цели

Примечания

Шаги

Ограничение доступа к su

Зачем

Цели

Ссылки

Шаги

Запуск приложений в изолированной среде с FireJail

Зачем

Цели

Ссылки

Шаги

NTP-клиент

Зачем

Как это работает

Цели

Ссылки

Шаги

Защита `/etc/ssh/sshd_config`

* EDIT THIS SCRIPT TO YOUR PROPOSES *#