38 sposobów na zabezpieczenie serwera. w telegraficznym skrócie.

1. Zabezpiecz SSH
2. Wyłącz konto roota
3. Separuj usługi sieciowe. Jedna usługa sieciowa na jeden system/vm. Warto rozważyć kontenery. Ale oczywiście, należy je odpowiednio zabezpieczyć.
4. Stosuj protokoły do szyfrowanej komunikacji (SCP, SSH, RSYNC, SFTP, SSL (VPN, WWW), Szyfrowanie poczty i danych na dyskach)
5. Sprawdź nasłuchujące porty i wyłącz te, które nie są wymagane.
6. Wyłącz IPv6 (jeżeli nie używasz).
7. Wykonuj kopie bezpieczeństwa
8. Testuj poprawność wykonania kopii bezpieczeństwa (wykonuj regularnie testowe odzyskiwanie)
9. Włącz blokowanie konta po trzech, nieudanych próbach zalogowania.
10. Uruchom fail2ban.
11. Korzystaj z dedykowanych narzędzi do zabezpieczenia serwera i zarządzania dostępem pokroju SELinux lub Apparmor.
12. Trzymaj dane użytkowników na osobnych partycjach od danych systemowych.
Przede wszystkim wydziel te partycje:
/usr
/home
/var
/tmp
13. Stwórz osobne partycje pod konkretne usługi i aplikacje. Np. do usługi WWW lub FTP.
14. Włącz audyt logów.
15. Kontroluj liczbę użytkowników z uprawnieniami administratora i wyłącz uprawnienia gdy nie są już wymagane.
16. Wykorzystuj wbudowane opcje kernela do zabezpieczenia systemu
17. Używaj centralnych systemów do uwierzytelniania użytkowników i protokołu Kerberos.
18. Fizyczne bezpieczeństwo serwera – wyłącz dostęp do usb/dvd/firewire/thunderbolt z poziomu OS i biosu. Chroń przed zalaniem i pożarami lub innymi zdarzeniami.
19. Wyłącz i usuń nieużywane usługi.
20. Wyłącz i usuń nieużywane aplikacje.
21. Wyłącz autostart usług, aplikacji i kontenerów, które nie są wymagane przy każdym starcie systemu.
22. Regularnie aktualizuj aplikacje i system.
23. Włącz automatyczne aktualizacje (kontroluj je i testuj!).
24. Wyłącz GUI, nakładki typu X11, wszelkiego rodzaju interfejsy graficzne jak GNOME czy KDE.
25. Wykonaj audyt jądra i korzystaj z wbudowanych mechanizmów zabezpieczenia.
26. Wykonuj backup do osobnej lokalizacji.
27. Uruchom redundantne łącze i zasilanie.
28. Używaj szyfrowania danych i komunikacji.
29. Zablokuj w firewallu wszystkie porty poza koniecznymi.
30. Cyklicznie sprawdzaj czy nie ma na Twoim serwerze danych, które mają zbyt niski poziom uprawnień.
31. Cyklicznie sprawdzaj czy nie ma na Twoim serwerze danych, które nie posiadają właściciela.
32. Upewnij się, że na Twoim serwerze nie ma użytkowników bez haseł.
33. Ustaw system, by wymagał od użytkownika używania kluczy do logowania. W gorszym przypadku, wymuś używania „silnych” haseł.
34. Ustaw czasowe wygasanie i wymuszenie zmiany hasła. Np. po 30 dniach.
35. Włącz historię haseł, by mieć pewność, że użytkownik nie będzie stosował tego samego hasła w określonym przedziale czasu. Minimum na rok.
36. Wykonaj audyt wszystkich aplikacji i zastosuj zabezpieczenia zgodnie z ich, najlepszymi praktykami.
37. Używaj VPN.
38. Zadbaj o bezpieczeństwo VPN.