Makineyi ilk saatte güvence altına alma

Makine ödeme yapıldıktan yaklaşık bir dakika sonra oluşturulur ve açılır, o andan itibaren genel adresi tüm internete görünür olur. Root parolasını tahmin etmeye yönelik ilk denemeler yarım saat içinde gelir — bu bir abartı değil, ağın olağan arka plan gürültüsüdür. Bir saatlik odaklanmış çalışma neredeyse tüm tipik saldırı senaryolarını kapsar.

Adım 1. Parola yerine anahtarlar

Panelde /hosting/vds/m/<id> adresindeki "Erişim" sekmesinde, "SSH anahtarları" alt bölümünde genel anahtarını ekle. Liste tamamen değiştirilir, bu yüzden ihtiyacın olan tüm anahtarları, yedek bir tanesi dahil, tek seferde yapıştır.

Anahtarları kaydetmek çalışan bir makineyi yeniden başlatır — anahtarlar açılışta ilk kurulum tarafından uygulanır. Bu adımın ilk sırada olmasının nedeni tam da budur: boş bir makinede yeniden başlatma yarım dakika sürer, üretimdeki bir makinede ise artık kesinti demektir. Tüm seti tek seferde yapıştır.

Bu yalnızca Linux için geçerlidir. Windows Server'da SSH anahtarı yoktur: orada paneldeki parolayla Administrator olarak RDP üzerinden oturum açarsın ve sıkılaştırma RDP koruması ile başlar.

ssh-keygen -t ed25519 -C "work laptop"
cat ~/.ssh/id_ed25519.pub
ssh root@<address>

Root parolası şifrelenmiş olarak saklanır ve aynı sekmedeki bir düğmeyle gösterilir — onu günlük oturum açma yöntemin değil, acil durum yolu olarak sakla. Bu konuda daha fazlası yedek anahtarlar ve parolalar sayfasında.

Adım 2. Normal bir kullanıcı

Sürekli root olarak çalışmana gerek yok:

adduser artem
usermod -aG sudo artem
mkdir -p /home/artem/.ssh
cp /root/.ssh/authorized_keys /home/artem/.ssh/
chown -R artem:artem /home/artem/.ssh
chmod 700 /home/artem/.ssh

Ayrı bir terminal penceresinde yeni kullanıcıyla oturum açabildiğini kontrol et. Ayrıntılar kullanıcılar ve sudo sayfasında.

Adım 3. Güvenlik duvarı

apt install -y ufw
ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp
ufw enable
ufw status verbose

Etkinleştirmeden önce SSH kuralını ekle. Kendini dışarıda bıraksan bile paneldeki konsol ağdan bağımsız çalışır, ama zaman kaybedersin. Adım adım anlatım: ufw güvenlik duvarı.

Adım 4. Güncellemeler ve SSH

apt update && apt upgrade -y

Ardından parolayla root girişini kapat — bkz. root girişini devre dışı bırakma ve SSH sıkılaştırma. Otomatik güvenlik güncellemeleri bir kez yapılandırılır: unattended-upgrades.

Adım 5. Ne aldığını kontrol et

ss -tulpn
ufw status verbose
systemctl list-units --type=service --state=running
grep -c "Failed password" /var/log/auth.log

ss çıktısındaki her satır sana anlamlı gelmeli. Genel bir adreste tanımadığın bir servis, varlığından haberdar olmadığın bir kapıdır.

İlk saat kontrol listesi

Bunu "projeyi kurunca" diye erteleme. Hacklenmenin nedeni birinin seninle ilgilenmesi değil, adresinin birinin listesine düşmesi ve parolaların gece gündüz ona karşı deneme yanılma yöntemiyle kırılmasıdır.