Усиление защиты SSH-сервера

Сервер SSH, открытый в интернете, постоянно подвергается автоматизированным атакам. Настройки по умолчанию оставляют несколько открытых дверей, которые боты безостановочно проверяют.

Усиление защиты означает ужесточение конфигурации на стороне сервера, чтобы злоумышленники не смогли войти методом перебора, даже обнаружив Ваш сервер.

Поведение SSH на стороне сервера управляется файлом /etc/ssh/sshd_config. Это не то же самое, что конфигурация клиента, которую Вы настраивали ранее (~/.ssh/config).

Всегда редактируйте этот файл с правами root и создавайте резервную копию перед внесением изменений.

Учётная запись root — первое, что пытаются использовать злоумышленники. Отключение прямого входа root заставляет их дополнительно угадать действительное имя пользователя.

Задайте для PermitRootLogin значение no. Администраторам следует входить как обычным пользователям и использовать sudo.

После настройки входа по ключу полностью отключите пароли. Это полностью пресекает атаки методом перебора — пароль для угадывания отсутствует.

Предупреждение: убедитесь, что вход по ключу работает, прежде чем применять это изменение, иначе Вы можете заблокировать себе доступ.

С помощью AllowUsers или AllowGroups можно точно указать, каким учётным записям разрешено использовать SSH. Любому пользователю, которого нет в списке, будет отказано даже при наличии действительных ключей.

Это простой и эффективный способ контроля на многопользовательских серверах.

Перенос SSH с порта 22 не повышает реальную безопасность, но значительно уменьшает количество шума от автоматических сканеров в журналах.

Выберите нестандартный порт, не забудьте открыть его в межсетевом экране и сообщить о нём клиентам.

Несколько директив сокращают время, доступное злоумышленникам:

• MaxAuthTries — число неудачных попыток до разрыва подключения
• LoginGraceTime — количество секунд, отведённых на аутентификацию
• MaxSessions — число одновременных сеансов для одного подключения

После редактирования проверьте синтаксис с помощью sshd -t до перезапуска — опечатка может помешать запуску сервиса и заблокировать Вам доступ.

Затем перезагрузите сервис. Оставьте текущий сеанс открытым и проверьте новое подключение, прежде чем закрывать его.

Fail2ban отслеживает журналы аутентификации и временно блокирует IP-адреса, с которых было выполнено слишком много неудачных попыток. Он добавляет динамический уровень защиты брандмауэром поверх настроек sshd.

Установите его и включите тюрьму SSH; для большинства серверов стандартные настройки вполне подходят.

Убедитесь, что сервер теперь отклоняет всё, что Вы отключили. Попробуйте подключиться с подробным выводом, чтобы увидеть, какие методы аутентификации предлагает сервер.

Защищённый сервер должен предлагать только publickey и отклонять вход по паролю и вход от имени root.

Поддерживайте безопасность SSH-сервера:

• Никогда не применяйте PasswordAuthentication no, не проверив вход по ключу
• Оставляйте один открытый сеанс во время изменения конфигурации
• Используйте sshd -t после каждого изменения
• Сочетайте усиление защиты sshd с брандмауэром и Fail2ban

Проверьте свои знания об усилении защиты SSH.

Вы усилили защиту SSH-сервера через /etc/ssh/sshd_config:

• Отключили вход от имени root и вход по паролю
• Разрешили только выбранных пользователей с помощью AllowUsers
• Настроили MaxAuthTries и LoginGraceTime
• Добавили Fail2ban для динамической защиты от перебора

Проверьте конфигурацию с помощью sshd -t и всегда выполняйте проверку перед закрытием сеанса.