🛡️ Zaawansowane zabezpieczanie serwera Linux w środowisku produkcyjnym: Kompletny przewodnik dla administratorów

🎯 Wprowadzenie

Bezpieczeństwo systemu Linux nie jest stanem — to proces ciągły, wymagający wiedzy, dyscypliny i systematycznego podejścia. W niniejszym przewodniku pokażemy kompletny model zabezpieczenia serwera produkcyjnego, począwszy od konfiguracji jądra, przez firewall, aż po logowanie i monitoring aktywności.

Celem artykułu jest wyposażenie administratora systemu w praktyczne, mierzalne i powtarzalne metody obrony przed zagrożeniami typu:

• 🔓 Brute-force na SSH,
• 🦠 Złośliwe skrypty PHP i exploity,
• 🕷️ Skanowanie portów i podatności,
• 📦 Ataki przez niezaktualizowane pakiety,
• 🧪 Wstrzykiwanie poleceń (Command Injection),
• 🔍 Nieautoryzowany dostęp przez usługi lub zapomniane demony.

🧱 1. Podstawy bezpieczeństwa systemowego (hardening systemu)

🧬 Utrzymywanie aktualności pakietów

Regularne aktualizacje to pierwsza linia obrony:

sudo apt update && sudo apt full-upgrade

Dodatkowo:

sudo apt install unattended-upgrades

Edytuj:

/etc/apt/apt.conf.d/50unattended-upgrades

🔐 Wyłączanie niepotrzebnych usług

systemctl list-unit-files --type=service

Przykład:

sudo systemctl disable cups.service

🗄️ Minimalna instalacja

Zasada: mniej pakietów = mniejsza powierzchnia ataku. Używaj obrazów minimalnych (np. Debian netinst, Ubuntu Server Minimal).

🔐 2. SSH – zabezpiecz dostęp zdalny

📛 Wyłącz logowanie roota

PermitRootLogin no

🔐 Używaj tylko kluczy SSH

W /etc/ssh/sshd_config:

PasswordAuthentication no
ChallengeResponseAuthentication no
UsePAM no

⏳ Ograniczenie liczby prób logowania

MaxAuthTries 3
LoginGraceTime 30

🔍 Fail2ban – automatyczne blokowanie brute force

sudo apt install fail2ban

Konfiguruj /etc/fail2ban/jail.local:

[sshd]
enabled = true
bantime = 1h
findtime = 10m
maxretry = 3

🔥 3. Firewall: iptables, nftables lub UFW

🔧 UFW – łatwy firewall

sudo apt install ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw enable

⚙️ Zaawansowany firewall z iptables (dla sysadminów)

iptables -P INPUT DROP
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

🧮 Reguły nftables jako nowoczesna alternatywa

sudo apt install nftables
sudo systemctl enable nftables

Przykładowa konfiguracja w /etc/nftables.conf:

table inet filter {
    chain input {
        type filter hook input priority 0;
        policy drop;
        ct state established,related accept
        tcp dport {22, 80, 443} accept
    }
}

📁 4. Ograniczanie dostępu do katalogów i plików

🔒 Prawidłowe uprawnienia systemowe

• Plik hasła: chmod 644 /etc/passwd
• Plik shadow: chmod 600 /etc/shadow
• Katalogy domowe: chmod 750 /home/user

🔐 SELinux lub AppArmor

SELinux (na CentOS, Fedora, RHEL):

getenforce
setenforce 1

AppArmor (Ubuntu):

aa-status

Twórz profile np. dla Apache:

aa-genprof apache2

🧪 5. Monitoring, logi i audyt systemu

📜 Rsyslog i logrotate

Zadbaj o centralizację logów i ich rotację:

• /var/log/auth.log
• /var/log/syslog
• /etc/logrotate.conf

🧿 Auditd – pełna inspekcja systemowa

Instalacja:

sudo apt install auditd

Sprawdź:

auditctl -l

📈 Narzędzia monitorujące

• htop, iotop, iftop
• Glances – jedno narzędzie do wszystkiego
• Netdata, Zabbix, Prometheus – do produkcyjnego monitoringu

📦 6. Bezpieczne środowisko www i PHP

🛡️ Hardened PHP

• expose_php = Off
• display_errors = Off
• disable_functions = exec,passthru,shell_exec,system,proc_open,popen

🔒 SSL/TLS – tylko szyfrowana komunikacja

sudo apt install certbot
sudo certbot --nginx

🔍 7. Narzędzia skanowania i testów bezpieczeństwa

🧰 Narzędzia polecane:

• Lynis – skaner bezpieczeństwa systemu Linux

sudo apt install lynis
sudo lynis audit system

• Chkrootkit i rkhunter – wykrywanie rootkitów
• OpenVAS lub Nessus – zaawansowany audyt podatności

🧯 8. Backupy i Disaster Recovery

🔄 Rsync + SSH

rsync -avz -e ssh /home user@backup:/mnt/backup/

🗃️ Snapshoty LVM / ZFS

Używaj ich do odzyskiwania danych i rollbacków.

📑 9. Checklist dla produkcyjnego serwera Linux

✅ Aktualne jądro i pakiety
✅ Wyłączony root login i logowanie hasłem
✅ Firewall aktywny i skonfigurowany
✅ SELinux/AppArmor aktywny
✅ Logi rotowane i monitorowane
✅ Szyfrowana komunikacja (TLS/SSL)
✅ Regularny backup (sprawdzony!)
✅ Audyt i testy podatności

📦 Podsumowanie

Zabezpieczenie serwera Linux nie kończy się na jednej komendzie. To ciągły proces konfiguracji, monitorowania i reagowania na nowe zagrożenia. Wdrażając powyższe techniki:

• Zredukujesz powierzchnię ataku,
• Utrudnisz włamanie przez SSH i www,
• Zyskasz pełną kontrolę nad ruchem i logami,
• Wzmocnisz odporność na ataki zero-day i zautomatyzowane skanery.

Niech ten przewodnik stanie się Twoim punktem wyjścia do polityki bezpieczeństwa we własnym środowisku produkcyjnym.

Polecane wpisy

Linuksowy Kernel Androida: Ciemne strony fundamentów bezpieczeństwa. Analiza podatności jądra, które napędza miliardy urządzeń

🔍 Linuksowy Kernel Androida: Ciemne strony fundamentów bezpieczeństwa. Analiza podatności jądra, które napędza miliardy urządzeń 📌 Wprowadzenie System Android, który Czytaj dalej

Instalacja i konfiguracja narzędzi do monitorowania systemu Linux: Nagios i Zabbix

Instalacja i konfiguracja narzędzi do monitorowania systemu Linux: Nagios i Zabbix Monitorowanie systemów Linux jest kluczowym elementem zarządzania infrastrukturą IT, Czytaj dalej

Czytaj  Problemy z rozruchem systemu Linux Ubuntu – Jak je rozwiązać?