Utoljára frissítve:
Egy frissen telepített VPS gyorsan használatba vehető, de éles indulás előtt nem érdemes „gyári” állapotban internetre engedni. A VPS biztonság alapja, hogy már az első bejelentkezések után lezárjuk a felesleges hozzáféréseket, beállítjuk a tűzfalat, naprakésszé tesszük a rendszert, és kialakítunk egy olyan üzemeltetési rutint, amely később is csökkenti a kockázatokat.
A VPS különösen érzékeny pont lehet egy vállalkozás informatikai környezetében: futtathat weboldalt, levelezést, ügyfélportált, adatbázist vagy belső alkalmazást. Ha a szerver kompromittálódik, az nemcsak technikai hiba, hanem üzleti fennakadás is lehet. Az alábbi alapbeállításokkal jelentősen javítható a VPS szerver védelem, még mielőtt a szolgáltatás nyilvánosan elérhetővé válna.
Első lépések: frissítés, felhasználók, jogosultságok
Az első bejelentkezés után célszerű az operációs rendszert azonnal frissíteni. Debian/Ubuntu alapú rendszereken például az apt update és apt upgrade, Red Hat alapú rendszereken a megfelelő csomagkezelő használata az első teendők közé tartozik. Ez nem látványos feladat, de sok sérülékenység eleve javított csomagokkal kerülhető el.
Érdemes külön adminisztratív felhasználót létrehozni, és nem a root felhasználóval dolgozni napi szinten. Az Ubuntu Server dokumentációja szerint az adminisztratív root fiók alapértelmezetten le van tiltva, és a sudo használata ajánlott a rendszergazdai műveletekhez. Az új felhasználó kapjon sudo jogosultságot, de csak azok férjenek hozzá, akiknek valóban szükséges. A „mindenki admin” szemlélet szerveren különösen kockázatos.
- Hozz létre külön admin felhasználót a napi munkához.
- Adj legalább 8 karakter hosszú, erős és egyedi jelszót, még akkor is, ha később kulcsos belépést használsz.
- Csak a szükséges személyek kapjanak sudo jogosultságot.
- Tiltsd vagy korlátozd a közvetlen root belépést SSH-n keresztül.
SSH kulcsos belépés és az SSH védelme
Az egyik legfontosabb alapbeállítás az SSH kulcsos belépés. A jelszavas SSH belépés kényelmes, de nyilvános interneten futó szervereknél folyamatos próbálkozások célpontja lehet. Az SSH szerver konfigurációjában a jelszavas belépés és a root bejelentkezés tiltása is kezelhető. Kulcsos hitelesítésnél a privát kulcs a felhasználó gépén marad, a szerveren pedig csak a publikus kulcs található meg.
A gyakorlatban ez úgy néz ki, hogy a felhasználó generál egy kulcspárt, a publikus kulcs bekerül a szerveren az adott felhasználó ~/.ssh/authorized_keys fájljába, majd az SSH konfigurációban letiltható a jelszavas belépés. Fontos, hogy ezt csak akkor tedd meg, ha a kulcsos belépést már kipróbáltad, különben kizárhatod magad a szerverről.
Az /etc/ssh/sshd_config fájlban tipikusan ezekre érdemes figyelni:
PermitRootLogin no– root belépés tiltása SSH-n.PasswordAuthentication no– jelszavas belépés tiltása, ha a kulcsos belépés működik.PubkeyAuthentication yes– kulcsos hitelesítés engedélyezése.- Csak a szükséges felhasználók SSH-hozzáférésének engedélyezése.
Az SSH port átállítása önmagában nem biztonsági megoldás, de csökkentheti az automatizált, alapértelmezett portra érkező zajt. Ennél fontosabb a kulcsos belépés, a root tiltása és a naplózás figyelése.
Tűzfal beállítás VPS-en: csak ami kell, az legyen nyitva
A tűzfal beállítás VPS-en az egyik leggyorsabban megtérülő biztonsági lépés. Alapelv: minden bejövő kapcsolat legyen tiltva, kivéve, amire ténylegesen szükség van. Egy weboldalt kiszolgáló VPS esetén például jellemzően az SSH, a HTTP és a HTTPS portokra van szükség, de adatbázisportot nem kell nyilvánosan megnyitni, ha azt csak a helyi alkalmazás használja.
Linuxon egyszerűbb környezetben az UFW jól használható, összetettebb esetben nftables vagy iptables szabályokkal lehet dolgozni. A lényeg nem az eszköz neve, hanem a szabályrendszer átláthatósága.
- Engedélyezd az SSH-t, lehetőleg csak ismert IP-címekről, ha ez megoldható.
- Nyisd meg a 80-as és 443-as portot webkiszolgáláshoz.
- Tiltsd a nyilvános hozzáférést adatbázisokhoz, adminfelületekhez, belső szolgáltatásokhoz.
- Dokumentáld, melyik port miért van nyitva.
Linux szerver hardening: felesleges szolgáltatások és alapvédelem
A Linux szerver hardening lényege, hogy a szerver csak azt futtassa, amire valóban szükség van. Minden felesleges szolgáltatás újabb hibalehetőség és újabb támadási felület. Érdemes átnézni, milyen démonok indulnak automatikusan, milyen portok figyelnek, és mely csomagok vannak telepítve.
Hasznos lépések élesítés előtt:
- Távolítsd el a nem használt csomagokat és szolgáltatásokat.
- Állíts be automatikus biztonsági frissítést, vagy legalább rendszeres frissítési rutint.
- Kapcsold be a rendszer- és szolgáltatásnaplózást, és ellenőrizd is a logokat.
- Webkiszolgálónál használj HTTPS-t érvényes tanúsítvánnyal.
- Állíts be alapvető brute force elleni védelmet, például sikertelen belépések korlátozásával.
Ha CMS, például WordPress fut a VPS-en, akkor az alkalmazás biztonsága ugyanolyan fontos, mint az operációs rendszeré. A naprakész bővítmények, a minimális jogosultságú adatbázis-felhasználó és a biztonságos fájljogosultságok mind részei a teljes védelemnek.
Mentés, monitoring és üzemeltetési fegyelem
A VPS üzemeltetés biztonságosan nem ér véget az indulás napján. Legyen rendszeres adatmentés, és ne csak elkészüljön, hanem időnként visszaállítással is legyen tesztelve. Egy nem ellenőrzött mentésről csak akkor derül ki, hogy használhatatlan, amikor már nagy a baj.
A mentéseket célszerű a VPS-től elkülönítve tárolni, hogy egy szerverhiba vagy kompromittálódás ne érintse az összes példányt. Emellett hasznos az alap monitoring: tárhelyhasználat, CPU-terhelés, memória, szolgáltatások elérhetősége, tanúsítványok lejárata. Ezek nemcsak biztonsági, hanem rendelkezésre állási szempontból is fontosak.
Éles indulás előtt tehát ne csak azt ellenőrizd, hogy „működik-e az oldal”. A biztonságos VPS alapja a friss rendszer, a kulcsos SSH, a szigorú tűzfal, a felesleges szolgáltatások leállítása, a naplózás, a mentés és az üzemeltetési fegyelem. Ezekkel a lépésekkel a VPS biztonság stabil alapokra kerül, és a későbbi karbantartás is kiszámíthatóbb lesz.
