Чеклист безопасности нового Linux-сервера: 30 шагов

Каждый новый сервер требует базовой настройки безопасности до того, как на нём будет запущено какое-либо приложение. Этот чеклист охватывает все уровни: от системных обновлений до мониторинга и бэкапов.

Раздел 1: Обновление системы

apt update && apt upgrade -y
apt install unattended-upgrades -y
dpkg-reconfigure -plow unattended-upgrades  # включить автообновления безопасности

Раздел 2: Пользователи и sudo

useradd -m -s /bin/bash admin
usermod -aG sudo admin
passwd admin
# Проверить, что root-вход по паролю отключён
passwd -l root

Раздел 3: SSH Hardening

# Уже подробно описан в статье SSH Hardening
# Ключевое:
Port 2222
PermitRootLogin no
PasswordAuthentication no
AllowUsers admin

Раздел 4: Firewall (UFW)

apt install ufw -y
ufw default deny incoming
ufw default allow outgoing
ufw allow 2222/tcp  # SSH (ваш порт)
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable
ufw status verbose

Раздел 5: fail2ban

apt install fail2ban -y
systemctl enable --now fail2ban

Раздел 6: Синхронизация времени

apt install chrony -y
systemctl enable --now chrony
timedatectl status

Раздел 7: Мониторинг и аудит

apt install auditd audispd-plugins -y
systemctl enable --now auditd
apt install logwatch -y

Полный чеклист из 30 пунктов

net.ipv4.tcp_syncookies = 1
net.ipv4.conf.all.rp_filter = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1
kernel.randomize_va_space = 2
kernel.dmesg_restrict = 1