Советы по защите VPS/VDS сервера. Как настроить безопасность виртуального сервера?

автор Alla Rud

Защищенный VPS работает как автономный выделенный сервер. У него есть собственная операционная система, базовая конфигурация оборудования и выделенный IP-адрес. В результате VPS сможет реализовать практически все ваши задачи, как и выделенный сервер. При этом вы неплохо сэкономите бюджет. 

Для того что бы определить IP сети , воспользуйтесь бесплатным онлайн инструментом

VPS или VDS сервер можно использовать как:

А также VPS/VDS используют для размещения и обеспечения работы сайтов и приложений, написанных на разных технологиях, и требующих дополнительного программного обеспечения.

Как настроить безопасность vds сервера? 

Для защиты виртуальных серверов от взлома и хакерских атак есть перечень советов и рекомендаций от специалистов, придерживаясь которых, вы будете максимально защищены от неприятной ситуации, когда данные с вашего сервера могут быть утеряны.

Используйте надежные пароли

По данным Verizon, слабые пароли лежат в основе примерно 81% всех утечек данных, что подчеркивает неуважение людей к важности учетных данных для входа.

Одинаковые пароли на разных платформах так же опасны, потому что они позволяют хакерам использовать одну утечку данных для взлома нескольких учетных записей.

В течение многих лет эксперты по безопасности выступали за использование надежных решений по управлению паролями для создания и хранения учетных данных для входа. Существует множество бесплатных и платных вариантов, и все они гарантируют, что вы сможете защитить свои учетные записи с помощью уникальных паролей, которые невозможно угадать. Например, для создания надежного и сильного пароля вы можете использовать Генератор паролей. 

В качестве еще одной меры предосторожности вы можете использовать двухфакторную систему аутентификации. С ней каждый раз, когда вы пытаетесь войти в панель управления серверов, вам нужно будет предоставить временный код безопасности в дополнение к действительному имени пользователя и аутентификации по паролю. Идея состоит в том, что хакер, который украл ваши учетные данные для входа, не сможет получить доступ к вашему серверу без вашего телефона.

Закройте неиспользуемые порты

Неиспользуемые сетевые порты и службы могут представлять серьезную угрозу для вашего VPS-сервера. Причина довольно проста - когда вы оставляете их открытыми, хакерам становится легко их использовать и взломать. Если вы хотите узнать обо всех ваших открытых сетях, используйте команду:

netstat

Замена стандартного порта SSH

По умол­чанию в SSH порт 22. Но его можно сменить, чтобы усложнить процесс взлома сервера. Откройте /etc/ssh/sshd_config и най­дите дирек­тиву Port. Вмес­то 22 ука­жите дру­гой порт. После перезайдите на сервер под новым портом. 

Замените FTP на SFTP

Протокол передачи файлов FTP считается старым. SFTP и FTP являются безопасными FTP-протоколами с надежными параметрами аутентификации, но SFTP намного проще переносить через брандмауэры, что делает его лучшим вариантом для безопасности. Если вы используете Filezilla для доступа к вашему VPS-серверу, вы можете очень легко изменить свое соединение с FTP на SFTP.

Всегда обновляйте ПО

Большинство современных сайтов создаются с использованием систем управления контентом CMS. Их владельцы управляют ими через внутренний интерфейс. Такой интерфейс создан из кода, в котором может скрываться множество ошибок, которые так ищут злоумышленники.

Разработчики CMS тратят много времени на выявление уязвимостей в системе безопасности и создание обновлений. 

Только владелец сайта несет ответственность за установку исправлений безопасности сразу же после их выпуска для обеспечения безопасности.

Единственный способ обеспечить максимальную защиту - регулярно обновлять каждое программное обеспечение и связанные с ним плагины на сервере. Кроме того, избегайте установки ненужного программного обеспечения, которое в будущем может быть использовано в качестве бэкдора.

Отключите root-вход

В Linux есть понятие пользователя root. Пользователь root или системный пользователь может делать в системе все, что угодно, не оставляя никаких следов или журналов. Можно использовать пользователя root для установки системы, а затем отключаете возможность входа в систему после этого.

В большинстве случаев вы можете использовать команду «sudo» для выполнения действий корневого уровня. На самом деле задача оболочки не в том, чтобы не допускать неавторизованных команд. Назначение sudo - предотвратить случайные действия и контролировать разрешения. Вы можете изменить эту опцию, изменив файл конфигурации входа в систему ssh. Использовать

# vi /etc/ssh/sshd_config 

или же

# sudo nano /etc/ssh/sshd_config

Журнал мониторинга

Если вы включите ведение журнала мониторинга на своем VPS, вы сможете видеть трафик и активность, происходящую на нем. Как только вы сможете проанализировать это, вы сможете заметить, есть ли какие-либо несоответствия и действия, которые не должны происходить.

Используйте CDN

Сеть доставки контента CDN не только помогает ускорить работу сайта, но и обеспечивает дополнительный уровень безопасности. Одной из наиболее важных функций безопасности, предоставляемых CDN, является  базовая защита от DDoS. Выбор идеального CDN может помочь избежать головной боли и повысить защиту сервера и сайта.

Подключайте SSL 

SSL-сертификаты используют протокол Transport Layer Security (или TLS) для шифрования потока информации между посетителями вашего сайта и сервером. Без них данные передавались бы в виде простого текста, и их было бы легко перехватить или изменить. SSL-сертификат также проверяет подлинность сайта, и подтверждает подключение посетителя к нужному серверу. Если нет желания тратить бюджет еще и на SSL, то можно для начала подключить бесплатное решение от компании Lets Encrypt. Это поможет повысить безопасность VPS. 

Использование SSH ключа вместо пароля

Детальнее в нашей статье:

Остерегайтесь общедоступного Wi-Fi

Вы должны быть особенно осторожны при входе на свой сервер или в учетную запись в общедоступной сети Wi-Fi. Одна из многих опасностей таких сетей имеет название Evil Twin. Хакер заманивает в фальшивую точку Wi-Fi. Все, что пользователь вводит при использовании этого мошеннического беспроводного соединения, попадает прямо в руки злоумышленника.

Сети Evil Twin довольно трудно обнаружить, особенно если вы неопытный пользователь. Вот почему вы должны быть очень осторожны и избегать бесплатных сетей, общедоступных точек доступа Wi-Fi. Кроме того, вы можете использовать надежную платформу VPN, чтобы обеспечить вашему соединению дополнительный уровень защиты.

Всегда делайте резервные копии

Наличие хорошей стратегии резервного копирования означает, что даже если что-то пойдет не так, у вас будет запасной вариант. Вы можете делать бекапы на свой локальный ПК или заказать специальную услугу бекапа и сохранять резервные копии на удаленный сервер. В таком случае у вас всегда будет возможность восстановить ценные данные. Это еще один из обязательных уровней защиты vps сервера. 

Установите Rootkit Scanner

Rootkit являются одним из самых опасных вредоносных приложений. Они могут дать злоумышленнику контроль над сервером, запустить другие вредоносные программы в операционной системе или отключить любые антивирусные приложения. Чтобы остановить Rootkit или обнаружить их, если они скомпрометируют сервер, можно установить специальный сканер.

Удаление Rootkit намного сложнее, чем стандартных вредоносных программ, поскольку они интегрируются с операционной системой и могут оставаться незамеченными стандартными службами защиты от вредоносных программ. Для сложных руткитов может потребоваться переустановка операционной системы. По этой причине важно использовать приложения для защиты от вредоносных программ, которые обнаруживают и останавливают их.

Разрешение и блокировка отдельных IP адресов

Это удобная возможность на сервере, которая позволяет блокировать нежелательные адреса для подключения на сервер или наоборот разрешать доступ ко всем портам определенному IP:

ufw allow from 000.211.11.11

Также можно разрешить доступ для определенного диапазона адресов. 

Как защитить Windows сервер от взлома?

Если вы пользователь Windows сервера, то для вас полезными будут еще несколько советов для защиты VDS.

Настройте брандмауэр

Используйте брандмауэр Windows для фильтрации ненадежного сетевого трафика. Поначалу брандмауэр может быть трудным в освоении, но не стоит его отключать. Неудобства, связанные с его правильной настройкой, стоят затраченных усилий.

Также рекомендуется использовать надежное антивирусное программное обеспечение для обнаружения и устранения угроз безопасности, вирусов и других вредоносных программ.

Обезопасьте RDP подключение

Хакеры часто получают доступ, используя RDP. Чтобы предотвратить несанкционированный доступ, измените порт RDP по умолчанию с 3389 на порт в диапазоне 10000-65535. Если для подключения используется выделенный IP-адрес, вы можете использовать дополнительные параметры брандмауэра Windows и заблокировать доступ RDP только к этому конкретному IP-адресу. Также хорошим способом защиты ваших данных является использование VPN. 

Автоматизируйте безопасность Windows Server

Избавьтесь от забот, связанных с аудитом действий пользователей и обнаружением ошибок, с помощью автоматизированной системы управления журналами и средства просмотра журналов для Windows. Большая часть трудоемкой работы, связанной с поиском, агрегированием журналов и настройкой, может быть выполнена с помощью эффективной системы управления журналами. Благодаря автоматизированному управлению журналами вы получаете расширенные возможности поиска, а также набор мощных средств аналитики и предупреждений.

Настройка автоотключения сессий

Часто пользователь после завершения работы забывает завершить сеанс, тем самым предоставляя доступ к удаленному рабочему столу кому угодно, кто получит доступ к компьютеру. Но данную функцию можно настроить и в случае бездействия автоматически завершать сеанс, настроить можно в разделе Конфигурации узла сеансов удаленных рабочих столов.

Ограничение прав пользователей

Для папок с общим доступом необходимо устанавливать пароли, особенно єто касается пользователей с неполным доступом. Это простой уровень защиты, но все же он помогает обезопасить учетные записи. 

Защита RDP-сессии с SSL/TLS

Если вы не используете VPN для подключения по RDP, то можно настроить специальное SSL/TLS соединение. Это подключается через групповую политику безопасности сервера удаленных рабочих столов. SSL (TLS 1.0) - именно это опцию рекомендуют указать при подключении.

Переименование учетной записи

Да, это один из самых примитивных способов защиты сервера, но много кто о нем забывает. Переименуйте учетную запись Administrator и это уже будет начало на пути к безопасности вашего VDS. 

Надеюсь, наши советы помогут повысить безопасность вашего сервера и защитят от взлома. Приятной работы!