Zabezpieczanie serwera SSH

Serwer SSH dostępny z internetu jest nieustannym celem zautomatyzowanych ataków. Domyślne ustawienia pozostawiają kilka otwartych drzwi, które boty bez przerwy sprawdzają.

Wzmacnianie zabezpieczeń oznacza zaostrzenie konfiguracji po stronie serwera, tak aby nawet po znalezieniu serwera przez napastników nie mogli oni uzyskać dostępu metodą brute force.

Zachowaniem SSH po stronie serwera steruje plik /etc/ssh/sshd_config. Różni się on od konfiguracji klienta, którą skonfigurowano wcześniej (~/.ssh/config).

Zawsze edytuj ten plik jako root i przed wprowadzeniem zmian utwórz kopię zapasową.

Konto root jest pierwszym celem napastników. Wyłączenie bezpośredniego logowania użytkownika root zmusza ich również do odgadnięcia prawidłowej nazwy użytkownika.

Ustaw PermitRootLogin na no. Administratorzy powinni logować się jako zwykły użytkownik i korzystać z sudo.

Po skonfigurowaniu uwierzytelniania za pomocą klucza wyłącz hasła całkowicie. To całkowicie uniemożliwia ataki brute force — nie ma hasła, które można odgadnąć.

Ostrzeżenie: przed zastosowaniem tej zmiany upewnij się, że logowanie za pomocą klucza działa, w przeciwnym razie możesz utracić dostęp do serwera.

Za pomocą AllowUsers lub AllowGroups można utworzyć białą listę kont, które mogą korzystać z SSH. Dostęp zostanie odrzucony każdemu, kto nie znajduje się na liście, nawet jeśli ma prawidłowe klucze.

To prosta i skuteczna kontrola na serwerach dla wielu użytkowników.

Przeniesienie SSH z portu 22 nie zwiększa rzeczywistego bezpieczeństwa, ale znacznie ogranicza ilość szumu generowanego w dziennikach przez automatyczne skanery.

Wybierz niestandardowy port, pamiętaj o otwarciu go w zaporze i poinformuj o nim klientów.

Jest kilka dyrektyw, które skracają czas dostępny dla napastników:

• MaxAuthTries — liczba nieudanych prób przed rozłączeniem
• LoginGraceTime — liczba sekund dozwolonych na uwierzytelnienie
• MaxSessions — liczba jednoczesnych sesji w ramach jednego połączenia

Po zakończeniu edycji sprawdź składnię za pomocą sshd -t przed ponownym uruchomieniem usługi — literówka może uniemożliwić jej uruchomienie i pozbawić Cię dostępu.

Następnie przeładuj usługę. Pozostaw bieżącą sesję otwartą i przetestuj nowe połączenie, zanim ją zamkniesz.

Fail2ban monitoruje dzienniki uwierzytelniania i tymczasowo blokuje adresy IP, z których odnotowano zbyt wiele nieudanych prób. Dodaje dynamiczną warstwę zapory sieciowej do ustawień sshd.

Zainstaluj go i włącz więzienie SSH — ustawienia domyślne są odpowiednie dla większości serwerów.

Upewnij się, że serwer odrzuca teraz połączenia korzystające z wyłączonych przez Ciebie funkcji. Spróbuj połączyć się z włączonym szczegółowym wyjściem, aby sprawdzić, jakie metody uwierzytelniania oferuje serwer.

Wzmocniony serwer powinien oferować wyłącznie publickey oraz odrzucać logowania za pomocą hasła i konta root.

Dbaj o bezpieczeństwo serwera SSH przez cały czas:

• Nigdy nie ustawiaj PasswordAuthentication no przed przetestowaniem logowania za pomocą klucza
• Podczas zmiany konfiguracji pozostaw jedną otwartą sesję
• Po każdej edycji uruchamiaj sshd -t
• Połącz wzmocnienie zabezpieczeń sshd z zaporą sieciową i Fail2ban

Wzmocniłeś zabezpieczenia serwera SSH za pomocą pliku /etc/ssh/sshd_config:

• Wyłączono logowanie za pomocą konta root i haseł
• Dodano użytkowników do listy dozwolonych za pomocą AllowUsers
• Dostosowano MaxAuthTries i LoginGraceTime
• Dodano Fail2ban w celu dynamicznej ochrony przed atakami brute force

Zweryfikuj konfigurację za pomocą sshd -t i zawsze wykonuj testy przed zamknięciem sesji.