Популярные способы защиты VPS/VDS на Windows Server
Возможность получить доступ к защищаемой информации постороннему лицу может обернуться очень плохо для собственника vps-сервера. Компрометация доступов к серверу принесет множество проблем. Например, образование сторонних скриптов, пропажа, а также кража данных, которыми может располагать vds-сервер. В данной статье вы узнаете, по какому признаку можно определить стороннее подключение и как защитить сервер от сторонних лиц.
Самый первый признак, означающий стороннее подключение к серверу – это появление похожих сообщений при входе по протоколу SSH:
Last failed login: Wed Dec 27 13:52:45 MSK 2017 from 51.15.193.10 on ssh:nottyThere were 9134 failed login attempts since the last successful login.
Если вам попались подобные сообщения, знайте – это были неудачные попытки авторизации к вашему vds-серверу сторонними лицами. Хакеры намеренно занимаются созданием, комбинацией подходящих паролей. Также, возможен вариант автоматического входа в сервер с помощью зараженных компьютеров.
Что нужно сделать для того, чтобы предотвратить попытки взлома?
Ниже представлены способы, с помощью которых вы сможете обезопасить vps-сервер:
1. Активируйте брандмауэр.
Для Linux есть следующие варианты:
- UFV – достаточно простой в использовании. Даже если вы новичок – справиться сможете.
- IPTables – его стоит использовать при управлении NetFilter – он состоит в ядре Linux;
- NFTables – данная программа предоставляет использование наиболее простым синтаксисом и объединяет IPv4 и IPv6 в один инструмент.
2. Замените порт SSH.
Чтобы это сделать, вам необходимо в файле /etc/ssh/sshd_config раскомментировать и поменять порт 22 на свободный. Вы можете использовать любые числа.
После того, как вы выполнили все шаги – перезапустите службу, используя команду service sshd restart.
3. Перенос портов.
Изменяя стандартные ключи, вы получаете возможность усилить защиту.
Как выполнить перенос: пропишите: sudo nano /etc/ssh/sshd_config – после необходимо сохранить и перезапустить: sudo service ssh restart.
Совершая вход, укажите новый порт: ssh user@host -p 49681.
4. Лучше всего использовать только ключи SSH.
Используя ключи, вы гарантируете виртуальному серверу невозможность подбора паролей. Ключи создаются с помощью команды ssh-keygen. Секретный копируется на персональный компьютер, публичный вы копируете уже на сервер. Если необходимо отключить вход по паролю – просто измените директиву PasswordAuthentication yes на PasswordAuthentication no, затем перезагрузите службу – авторизуйтесь по ключу.
5. По возможности установите Google Authenticator.
Установите приложение на телефон, а затем установите его и на vds-сервер. Как только вы установили приложение – запустите с помощью команды google-authenticator. При появлении секретного ключа – добавить его в приложение и скопировать аварийные ключи восстановления. Программа хороша тем, что при подключении код для входа по ключу не будет запрашиваться. Код могут запросить по паролю, только если он включен.
6. Займитесь настройкой доступа к IP-адресам.
При желании подключиться по ip-адресам введите в файл следующее: /etc/hosts.denysshd: ALL. В файл /etc/hosts.allow Sshd: 188.120.252.0/24. Так доступ к SSH будет запрещен. Далее – перезапускаете сервер командой service sshd restart.
В строке управления вы можете изменить настройки фаервола. Для виртуальных серверов с KVM-виртуализацией вы можете заблокировать подсети и какие-либо страны.
7. Установите программу Fail2ban.
Программа позволяет блокировать сомнительные подключения и с ее помощью, не нужно заниматься блокировкой вручную. Установка очень простая, например: yum install fail2ban Centos или apt-get install fail2ban для Debian/Ubuntu. Все политики настраиваются в /etc/fail2ban/jail.conf
8. Защита SHH-ключей.
Когда работа защиты завершится – меняйте доступы к виртуальному серверу. Но, если сервер все-таки взломали, войдите в сервер через VNC в панели VMmanager либо IPMI через DCImanager.
[ssh-iptables]enabled = truefilter = sshdaction = iptables[name=SSH, port=ssh, protocol=tcp]logpath = /var/log/securemaxretry = 3
Если даже это не помогает – перенесите данные на другой сервер или же переустановите ОС, не забывая сохранять данные.
9. Перенастройте бэкапы на удаленное хранилище.
Используя ISP-manager, вы настраиваете бэкапы и на диск и на облачные хранилища. Благодаря этому, вы в кратчайшие сроки восстанавливаете собственные данные, даже если они бесследно исчезли.
При атаке сервера воспользуйтесь одним из представленных способов. Вы сможете очень быстро избавиться и от vps-атак и защитить сервер, не потеряв имевшихся данных.