Безопасность сервера — не роскошь, а самая базовая необходимость. От неё зависит сохранность данных, непрерывность работы сервиса и репутация компании. Red Hat Enterprise Linux (RHEL)/CentOS предлагают набор встроенных механизмов защиты — от контроля доступа до контроля целостности — но сами по себе они не заменят разумных практик администрирования. В этом материале вы найдёте простое и понятное введение в основные принципы и инструменты, обеспечивающие безопасность в этих операционных системах. Вы узнаете, какие механизмы стоят на первом плане, почему их важно включать и какие простые шаги снизят риски до приемлемого уровня для бизнеса.
Как подготовить сервер к безопасной работе: первые шаги
- Первое и главное, что необходимо сделать — это установить все доступные обновления безопасности. На старых версиях это yum update, на более новых — dnf update. После окончания процедуры может понадобиться перезагрузить сервер;
- Настройте автоматическую установку критических патчей, связанных с безопасностью. Поскольку значительная часть хакерских атак случается почти сразу после обнаружения уязвимостей, крайне важно как можно раньше получать обновления, латающие эти бреши в обороне;
- Критически оцените список запущенных служб — если необходимость в каких-то из них неочевидна, отключите их. Чем меньше сервисов — тем меньше потенциальных уязвимостей;
- Настройте безопасный SSH (Secure Shell) — для этого запретите вход по паролю, при необходимости смените порт, используйте ключи SSH, отключите root-login и, если есть такая возможность, активируйте двухфакторную аутентификацию. Через firewall ограничьте доступ по IP, а также включите журналы входа, чтобы мониторить неудачные попытки;
- Настройте firewall. Оставьте открытыми только строго необходимые порты, используйте подходящие зоны и запретите все лишние соединения. Доступ разрешайте по принципу «минимально необходимого».
Безопасность сервера в долгосрочной перспективе
Разумеется, важны не только первоначальные настройки, но и используемые на постоянной основе практики.
Для дисков с чувствительной информацией крайне рекомендуется шифрование (LUKS). Для сетевых сервисов нужно использовать TLS; убедитесь, что сертификаты хранятся безопасно и внимательно следите за сроками их действия.
Также крайне важно иметь план восстановления на случай утери информации (или доступа к ней). Поэтому настройте регулярные автоматические бэкапы для данных и конфигураций. Хранить резервные копии нужно за пределами основного сервера, а саму систему восстановления — периодически тестировать.
И, пожалуй, отдельно следует выделить обучение сотрудников. В абсолютном большинстве случаев нарушения кибербезопасности являются следствием человеческого фактора, так что лучший способ обезопасить свою систему — держать свою команду в курсе и регулярно проводить хотя бы минимальные тренировки реакций персонала в тех или иных ситуациях.
