onionvps

Configurazione e gestione

Come posso proteggere un nuovo VPS?

Risposta breve

Cinque passaggi coprono la stragrande maggioranza delle compromissioni reali: SSH tramite chiave con autenticazione con password disabilitata, nessun accesso root diretto, firewall con default deny, aggiornamenti di sicurezza automatici e fail2ban o equivalente. Insieme richiedono circa dieci minuti ed eliminano essenzialmente tutti gli attacchi automatizzati.

Gli attacchi automatizzati iniziano entro pochi minuti dal momento in cui un indirizzo diventa attivo. Non sono mirati a te; sono mirati a tutti, continuamente. L'autenticazione tramite password sulla porta 22 è ciò che cercano.

Il passaggio che la gente salta è il firewall. Default deny in ingresso, con allow espliciti solo per ciò che effettivamente servi, ti protegge dal servizio che hai dimenticato in ascolto, che è come iniziano la maggior parte delle intrusioni reali.

  • ssh-keygen -t ed25519, upload the public key, then set PasswordAuthentication no
  • PermitRootLogin no; usa un utente normale con sudo
  • nftables o ufw: default deny in ingresso, apri solo 22, 80, 443 e nient'altro
  • Abilita unattended-upgrades così le patch di sicurezza arrivano senza il tuo intervento
  • Installa fail2ban o sposta SSH dietro WireGuard così non è esposto affatto
  • Fai uno snapshot una volta configurato: diventa il tuo stato noto e buono

Vedi anche: fail2ban

7 risposte su Configurazione e gestione

Torna a tutte le risposte