Безопасность серверов Linux

О КУРСЕ

Через несколько минут после того, как сервер появляется в интернете, его уже начинают сканировать. Не хакеры — боты. Им всё равно что там запущено и кто владелец. Они просто ищут открытые порты, стандартные пароли, известные уязвимости.

Большинство об этом не думают. Настроили, запустили, работает — и ладно. До тех пор, пока однажды что-то идёт не так.

Этот курс о том, как сделать так, чтобы не узнавать таким образом.

104 урока, 12 блоков — от первого знакомства с Linux до централизованного мониторинга. Каждый инструмент объясняется не просто «вводите вот это», а почему именно это, что будет если не сделать, и как проверить что всё работает правильно.

ДЛЯ КОГО

Для тех, кто умеет поднять сервер — но честно не знает, насколько он защищён.

Вы работаете с Linux, знаете основные команды, SSH настраивали. Но если спросят «а pg_hba.conf смотрел?» или «nftables настроен?» — где-то внутри появляется лёгкая тревога. Знакомо? Этот курс именно про это. Не одна статья из Stack Overflow, а системное понимание того, как всё устроено и почему.

Если вы совсем в начале пути — тоже нормально. Блок 0 начинается с нуля, уровень нарастает постепенно. Никто не бросает вас в глубину без объяснений.

ЧТО ВНУТРИ

Каждый блок строится на предыдущем — к концу курса у вас в голове не набор инструментов, а цельная картина.

Начинаем с основ Linux: файловая система, пользователи, права, процессы, сеть, SSH. Звучит скучно — но именно здесь закладывается понимание, без которого всё остальное будет просто магией.

Потом — кто вообще имеет право что делать на сервере. sudo, PAM, SELinux, AppArmor. Почему root в логах SSH — это не просто строчка, а повод остановиться и разобраться.

systemd знают как «systemctl start/stop». Но он умеет изолировать службу так, что даже если nginx взломают — он не сможет прочитать /etc/passwd, записать файл за пределами своей директории или запустить новый процесс. Об этом целый блок.

Ядро. Параметры sysctl — не магические строчки, которые копируют из интернета не глядя. Каждый из них делает что-то конкретное: закрывает вектор атаки, ограничивает утечку информации, меняет поведение сетевого стека под нагрузкой.

Сертификаты. «Поставить Let’s Encrypt» и «понимать как это работает» — очень разные вещи. Разбираем цепочки доверия, собственный CA, mTLS, шифрование дисков и файлов. После этого блока OpenSSL перестаёт пугать.

Firewall на nftables — не iptables с его синтаксисом из 1990-х, а нормальный современный инструмент. Строим политику «всё запрещено, кроме явно разрешённого», защищаемся от DDoS и сканирования, учимся отлаживать правила когда что-то идёт не так.

nginx — не просто «раздавать файлы». Правильный HTTPS, заголовки безопасности, rate limiting, reverse proxy. И главное — как читать логи так, чтобы видеть атаки, а не просто цифры.

База данных в приватной сети, за двойной изоляцией, с mTLS и минимальными привилегиями. Потому что «PostgreSQL слушает на 0.0.0.0» — это не настройка, это открытая дверь.

fail2ban автоматически блокирует по логам. Разбираем как он работает изнутри, пишем свои фильтры, интегрируем с nftables — и разбираемся почему иногда он молчит, когда должен блокировать.

Cloudflare — CDN, WAF, защита от DDoS, Tunnel, Zero Trust. Как правильно встроить его в стек и не потерять реальные IP клиентов по дороге.

Аудит и мониторинг: auditd, контроль целостности файлов, анализ трафика, стандарты CIS, отслеживание CVE, автоматические обновления. Как знать, что происходит на сервере — не только когда уже горит.

Последний блок — логирование и troubleshooting. Как устроены логи в Linux, как их анализировать, и как диагностировать типичные проблемы: nginx отдаёт 502, fail2ban не блокирует, systemd-служба не стартует, TLS ругается на сертификат. Grafana и Loki для тех, кто хочет видеть всё в одном месте.

ЧТО ИЗМЕНИТСЯ

Берёте чистый сервер — и настраиваете его для production сами.

SSH с ключами, без root, с ограничением по IP. Firewall, который по умолчанию закрыт. nginx с нормальным HTTPS и заголовками безопасности. База данных в приватной сети. Автоматическая блокировка атак. Логи, которые вы умеете читать. Мониторинг, который покажет проблему раньше, чем позвонит клиент.

И — это важнее всего — вы понимаете, почему именно так. Когда что-то пойдёт не так в production, а рано или поздно это случается, вы будете знать куда смотреть.