Yeni bir Linux sunucu ilk saatte nasıl güvenli hale getirilir

Aşağıdaki komutlar sudo yetkisi olan bir kullanıcı varsayar; hâlâ root olarak oturum açtıysanız sudo kısmını yazmayın. Tamamen güncellenmiş bir sistemle başlayın. Ubuntu ve Debian'da:

sudo apt update
sudo apt full-upgrade

AlmaLinux, Rocky Linux ve diğer RHEL ailesi sistemlerde sudo dnf upgrade komutunu çalıştırın. Çekirdek güncellendiyse yeniden başlatın.

root olarak çalışmak her yazım hatasını sistem genelinde bir riske dönüştürür. Kendi kullanıcınızı oluşturun ve ona yönetici yetkisi verin:

adduser alex
usermod -aG sudo alex

RHEL ailesi sistemlerde yönetici grubu wheel'dir: kullanıcıyı useradd -m alex ile oluşturun, passwd alex ile şifre belirleyin ve usermod -aG wheel alex komutunu çalıştırın.

Kendi bilgisayarınızda bir anahtar çifti oluşturun ve genel anahtarı yeni kullanıcıya kopyalayın. Özel anahtar bilgisayarınızda kalır; onu bir parolayla koruyun.

ssh-keygen -t ed25519
ssh-copy-id [email protected]

Başka bir şeyi değiştirmeden önce yeni bir terminal açın ve ssh [email protected] komutunun sizi anahtarla giriş yaptırdığını doğrulayın.

SSH ayarlarınızı ayrı bir dosyaya yazın. OpenSSH her seçenek için okuduğu ilk değeri kullanır ve güncel Ubuntu, Debian ve RHEL ailesi sürümleri /etc/ssh/sshd_config.d/ içindeki dosyaları ana yapılandırmanın geri kalanından önce okur; bu yüzden adı sıralamada ilk gelen dosya geçerli olur:

sudo nano /etc/ssh/sshd_config.d/00-hardening.conf

PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes

Sözdizimini sudo sshd -t ile kontrol edin ve gerçekten geçerli olan ayarları sudo sshd -T ile listeleyin. Ardından hizmeti yeniden başlatın: Ubuntu ve Debian'da sudo systemctl restart ssh, RHEL ailesi sistemlerde sudo systemctl restart sshd. Mevcut oturumunuzu açık tutun ve ikinci bir terminalde yeni bir girişi test edin; böylece bir hata sizi dışarıda bırakamaz.

Kendi bağlantınızı kesmemek için önce SSH'a izin verin, sonra güvenlik duvarını açın. Ubuntu'da UFW varsayılan olarak kuruludur; Debian'da sudo apt install ufw ile kurun.

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw allow 80,443/tcp
sudo ufw enable

RHEL ailesi sistemlerde genellikle firewalld kullanılır ve varsayılan bölgesinde SSH'a izin verilir: bir hizmeti sudo firewall-cmd --permanent --add-service=https ile açın ve sudo firewall-cmd --reload ile uygulayın. Yalnızca gerçekten çalıştırdığınız hizmetlerin portlarını açın. SSH'ı başka bir porta taşımak kayıtlardaki gürültüyü azaltır ama tek başına koruma sağlamaz; koruyan şey anahtarlar ve güvenlik duvarıdır.

Ubuntu unattended-upgrades paketini varsayılan olarak kurar ve güvenlik güncellemelerini otomatik uygular; etkin olduğunu sudo dpkg-reconfigure -plow unattended-upgrades ile doğrulayın. Debian'da önce aynı paketi kurun. RHEL ailesi sistemlerde dnf-automatic paketini kurun, /etc/dnf/automatic.conf dosyasında apply_updates = yes ayarlayın ve sudo systemctl enable --now dnf-automatic.timer ile etkinleştirin. Yeni bir çekirdek gibi bazı güncellemeler yalnızca yeniden başlatmadan sonra devreye girer; bu yüzden düzenli bir bakım zamanı planlayın.

Saati doğru tutun, çünkü kayıtlar, sertifikalar ve iki adımlı doğrulama kodları ona bağlıdır: timedatectl zaman eşitlemesinin etkin olup olmadığını gösterir. Ağı dinleyen hizmetleri sudo ss -tulpn ile listeleyin ve ihtiyacınız olmayanları devre dışı bırakın. Hâlâ şifre kabul eden hizmetlere yönelik şifre tahminlerini yavaşlatmak için Fail2ban gibi bir araç, tekrar tekrar başarısız olan adresleri engelleyebilir.

Bir yedek ancak onu geri yüklediğinizde kanıtlanmış olur. 3-2-1 fikrini izleyin: verilerinizin iki farklı depolama türünde üç kopyası ve bunlardan birinin sunucudan uzakta olması. Paketiniz anlık görüntü sunuyorsa riskli değişikliklerden önce bir anlık görüntü alın, düzenli veritabanı dökümlerini ve dosya yedeklerini başka bir konuma planlayın ve çalıştığını kontrol etmek için birini bir test sistemine geri yükleyin.