Linux serverių saugumas

APIE KURSĄ

Praėjus kelioms minutėms po to, kai serveris pasirodo internete, jį jau pradeda skenuoti. Ne įsilaužėliai — botai. Jiems nesvarbu, kas ten paleista ir kas savininkas. Jie tiesiog ieško atvirų portų, numatytųjų slaptažodžių, žinomų pažeidžiamumų.

Dauguma apie tai negalvoja. Sukonfigūravo, paleido, veikia — ir gerai. Kol vieną dieną kažkas eina ne taip.

Šis kursas apie tai, kaip padaryti, kad taip nesužinotumėte.

104 pamokos, 12 blokų — nuo pirmojo susipažinimo su Linux iki centralizuoto monitoringo. Kiekvienas įrankis aiškinamas ne tiesiog „įveskite štai tai”, o kodėl būtent tai, kas nutiks jei nepadarysite, ir kaip patikrinti, kad viskas veikia teisingai.

KAM SKIRTA

Tiems, kurie moka paleisti serverį — bet sąžiningai nežino, kiek jis apsaugotas.

Dirbate su Linux, žinote pagrindines komandas, konfigūravote SSH. Bet jei paklaustų „o pg_hba.conf žiūrėjai?” arba „nftables sukonfigūruotas?” — kažkur viduje atsiranda lengvas nerimas. Pažįstama? Šis kursas kaip tik apie tai. Ne vienas straipsnis iš Stack Overflow, o sisteminis supratimas, kaip viskas veikia ir kodėl.

Jei esate visiškai pradžioje — irgi gerai. Blokas 0 pradedamas nuo nulio, lygis kyla palaipsniui. Niekas nemeta jūsų į gilumą be paaiškinimų.

KAS VIDUJE

Kiekvienas blokas grindžiamas ankstesniu — kurso pabaigoje galvoje bus ne įrankių rinkinys, o vientisas vaizdas.

Pradedame nuo Linux pagrindų: failų sistema, vartotojai, teisės, procesai, tinklas, SSH. Skamba nuobodžiai — bet būtent čia formuojasi supratimas, be kurio visa kita bus tiesiog magija.

Toliau — kas apskritai turi teisę ką daryti serveryje. sudo, PAM, SELinux, AppArmor. Kodėl root SSH žurnaluose — tai ne tiesiog eilutė, o priežastis sustoti ir išsiaiškinti.

systemd žinomas kaip „systemctl start/stop”. Bet jis gali izoliuoti servisą taip, kad net jei nginx būtų įsilaužta — jis negalės perskaityti /etc/passwd, įrašyti failo už savo direktorijos ribų ar paleisti naują procesą. Tam skirtas atskiras blokas.

Branduolys. sysctl parametrai — tai ne magiškos eilutės, kurias kopijuoja iš interneto neperskaičius. Kiekvienas iš jų daro kažką konkretaus: uždaro atakos vektorių, riboja informacijos nutekėjimą, keičia tinklo steko elgesį apkrovos metu.

Sertifikatai. „Tiesiog įdiegti Let’s Encrypt” ir „suprasti kaip tai veikia” — labai skirtingi dalykai. Nagrinėjame pasitikėjimo grandines, nuosavą CA, mTLS, diskų ir failų šifravimą. Po šio bloko OpenSSL nustoja gąsdinti.

Firewall su nftables — ne iptables su jo 1990-ųjų sintakse, o normalus šiuolaikinis įrankis. Kuriame politiką „viskas uždrausta, išskyrus aiškiai leistą”, apsisaugome nuo DDoS ir skenavimo, mokome derinti taisykles kai kažkas eina ne taip.

nginx — ne tik „failų tiekimas”. Tinkamas HTTPS, saugumo antraštės, rate limiting, reverse proxy. Ir svarbiausia — kaip skaityti žurnalus taip, kad matytumėte atakas, o ne tik skaičius.

Duomenų bazė privačiame tinkle, už dvigubos izoliacijos, su mTLS ir minimaliausiomis teisėmis. Nes „PostgreSQL klauso 0.0.0.0” — tai ne konfigūracija, tai atviros durys.

fail2ban automatiškai blokuoja pagal žurnalus. Nagrinėjame kaip jis veikia iš vidaus, rašome savo filtrus, integruojame su nftables — ir išsiaiškiname, kodėl kartais jis tyli, kai turėtų blokuoti.

Cloudflare — CDN, WAF, DDoS apsauga, Tunnel, Zero Trust. Kaip tinkamai integruoti jį į stack’ą ir neprarasti tikrų klientų IP adresų pakeliui.

Auditas ir monitoringas: auditd, failų vientisumo kontrolė, srauto analizė, CIS standartai, CVE sekimas, automatiniai atnaujinimai. Kaip žinoti, kas vyksta serveryje — ne tik tada, kai jau dega.

Paskutinis blokas — logavimas ir troubleshooting. Kaip sutvarkyta logavimo sistema Linux, kaip ją analizuoti, ir kaip diagnozuoti tipinius sutrikimus: nginx grąžina 502, fail2ban neblokuoja, systemd servisas nesikuria, TLS skundžiasi sertifikatu. Grafana ir Loki tiems, kurie nori viską matyti vienoje vietoje.

KAS PASIKEIS

Paimsite švarų serverį — ir sukonfigūruosite jį production aplinkoje patys.

SSH su raktais, be root, su IP apribojimu. Firewall, kuris pagal nutylėjimą uždarytas. nginx su normaliu HTTPS ir saugumo antraštėmis. Duomenų bazė privačiame tinkle. Automatinis atakų blokavimas. Žurnalai, kuriuos mokate skaityti. Monitoringas, kuris parodys problemą anksčiau, nei paskambins klientas.

Ir — svarbiausia — suprantate, kodėl būtent taip. Kai kažkas production aplinkoje eis ne taip, o anksčiau ar vėliau tai nutiks, žinosite kur žiūrėti. Ne spėlioti, o žinoti.