Безопасность Linux-сервера: SSH, fail2ban, UFW и аудит за 30 минут

Безопасность Linux-сервера: SSH, fail2ban, UFW и аудит за 30 минут

Свежеустановленный сервер в интернете начинает получать атаки уже в первые минуты. Брутфорс SSH, сканирование портов и эксплуатация уязвимостей — рутина. Базовая защита не требует сложных систем: достаточно правильно настроить SSH, файрволл и автоматическую блокировку злоумышленников.

Укрепляем SSH

Отключите вход по паролю и root-логин, используйте ключи. Отредактируйте /etc/ssh/sshd_config:

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
AuthenticationMethods publickey

Перезапустите службу: sudo systemctl restart sshd. Предварительно убедитесь, что ваш ключ добавлен в ~/.ssh/authorized_keys, иначе потеряете доступ.

UFW: простой файрволл

sudo apt install ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

Открывайте только необходимые порты. Для нестандартного SSH-порта измените правило соответственно.

fail2ban против брутфорса

sudo apt install fail2ban
sudo systemctl enable --now fail2ban

Создайте /etc/fail2ban/jail.local с секцией [sshd]:

[sshd]
enabled = true
port = 22
maxretry = 3
bantime = 1h
findtime = 10m

Перезапустите fail2ban. Проверить заблокированные адреса: sudo fail2ban-client status sshd.

Автоматические обновления безопасности

sudo apt install unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

Включите только обновления безопасности, чтобы избежать неожиданных изменений в production.

Аудит и мониторинг

• sudo apt install lynis && sudo lynis audit system — базовый аудит.
• sudo apt install auditd — отслеживание системных вызовов.
• Регулярно проверяйте /var/log/auth.log на подозрительную активность.

Эти меры не делают сервер неуязвимым, но отсекают 99% автоматических атак и дают время на реакцию.