Mettere in sicurezza il server SSH

Un server SSH esposto a Internet è un bersaglio costante per gli attacchi automatizzati. Le impostazioni predefinite lasciano aperte diverse porte che i bot sondano senza sosta.

Mettere in sicurezza il server significa rendere più restrittiva la configurazione lato server, così che, anche se gli attaccanti individuano il server, non possano accedervi con un attacco brute force.

Il comportamento di SSH lato server è controllato da /etc/ssh/sshd_config. È diverso dalla configurazione del client configurata in precedenza (~/.ssh/config).

Lo modifichi sempre come root e conservi un backup prima di apportare modifiche.

L'account root è il primo obiettivo degli attaccanti. Disabilitare l'accesso root diretto li costringe a indovinare anche un nome utente valido.

Imposti PermitRootLogin su no. Gli amministratori devono accedere come utenti normali e usare sudo.

Quando l'autenticazione basata su chiavi funziona, disabiliti completamente le password. In questo modo gli attacchi brute force vengono neutralizzati del tutto — non c'è alcuna password da indovinare.

Attenzione: verifichi che l'accesso tramite chiave funzioni prima di applicare questa modifica, altrimenti potrebbe bloccare il Suo stesso accesso.

Può inserire nella whitelist esattamente gli account autorizzati a usare SSH con AllowUsers o AllowGroups. Chiunque non sia incluso nell'elenco viene rifiutato anche se dispone di chiavi valide.

Si tratta di un controllo semplice ed efficace sui server multiutente.

Spostare SSH dalla porta 22 non aggiunge una sicurezza reale, ma riduce drasticamente il rumore prodotto dagli scanner automatizzati nei log.

Scelga una porta non standard e ricordi di aprirla nel firewall e di comunicarla ai client.

Diverse direttive riducono il margine d'azione degli attaccanti:

• MaxAuthTries — tentativi non riusciti prima della disconnessione
• LoginGraceTime — secondi concessi per autenticarsi
• MaxSessions — sessioni simultanee per connessione

Dopo la modifica, convalidi la sintassi con sshd -t prima di riavviare — un errore di battitura può impedire l'avvio del servizio e bloccare il Suo accesso.

Quindi ricarichi il servizio. Mantenga aperta la sessione corrente e verifichi una nuova connessione prima di chiuderla.

Fail2ban monitora i log di autenticazione e blocca temporaneamente gli indirizzi IP che falliscono troppe volte. Aggiunge un livello dinamico di firewall alle impostazioni di sshd.

Lo installi e abiliti il jail SSH; le impostazioni predefinite sono adatte alla maggior parte dei server.

Confermi che ora il server rifiuti ciò che ha disabilitato. Provi a connettersi con un output dettagliato per vedere quali metodi di autenticazione offre il server.

Un server adeguatamente protetto dovrebbe pubblicizzare solo publickey e rifiutare gli accessi con password e con root.

Mantenga il server SSH sicuro nel tempo:

• Non applichi mai PasswordAuthentication no prima di aver testato l'accesso con chiave
• Mantenga una sessione aperta mentre modifica la configurazione
• Utilizzi sshd -t a ogni modifica
• Combini il rafforzamento di sshd con un firewall e Fail2ban

Verifichi le sue conoscenze sul rafforzamento di SSH.

Ha rafforzato il server SSH tramite /etc/ssh/sshd_config:

• Ha disabilitato gli accessi con root e con password
• Ha autorizzato solo determinati utenti con AllowUsers
• Ha regolato MaxAuthTries e LoginGraceTime
• Ha aggiunto Fail2ban per la protezione dinamica dagli attacchi brute force

Verifichi la configurazione con sshd -t e testi sempre le modifiche prima di chiudere la sessione.