Estoy por instalar un nuevo servidor ubuntu después de tener este virushttps://askubuntu.com/questions/1115770/crond64-tsm-virus-in-ubuntu.
Al instalar el nuevo VPS voy a instalar clamav y seguir estos consejos de protección:https://www.eurovps.com/blog/20-ways-to-secure-linux-vps/
¿Es suficiente o hay algún otro consejo en general o específico para este virus que debería aplicar en el nuevo VPS?
Gracias
Respuesta1
Si realmente se ve comprometido, lo más importante que debe hacer es realizar un análisis exhaustivo de la causa raíz. Vea la pregunta canónica sobre este tema:¿Cómo trato con un servidor comprometido? Observe qué procesos y controles técnicos fallaron, para cada sistema. Esto llevará mucho tiempo, pero valdrá la pena para no volver a cometer esos errores.
Una vez que haya aprendido las lecciones, sí, reconstruir desde un sistema operativo limpio y en buen estado es algo razonable.
- Actualice su software periódicamente. Sistema operativo y aplicación.
- Instale únicamente software de fuentes en las que confíe. Tenga en cuenta que su cadena de suministro de software puede ser vulnerable a la débil operación de seguridad de los desarrolladores.
- Solo conceda shells a usuarios en los que confíe.
- Utilice claves ssh y desactive las contraseñas por completo.
- Preste atención a las últimas horas de inicio de sesión que no fueron usted ni su equipo, o que están fuera de su espacio de IP típico.
- Supervise la utilización de recursos, el 100% de la CPU es malo.
Etcétera. La seguridad es mucho más, pero la higiene es una gran parte.
Algunos de los consejos de EuroVPS son erróneos.
IPv6 debe estar habilitado.
- Es mejor implementar controles adecuados que ignorar la versión 6, porque no va a desaparecer.
- No es factible que los atacantes escaneen todo el espacio de direcciones como v4. Tendrán que encontrar tu DNS como todos los demás.
- El 30% del tráfico global de Google es IPv6
- IPv6 es más rápido que v4 en muchas redes
La complejidad de la contraseña especial alfanumérica está obsoleta.NIST 800-63Bdice permitir contraseñas muy largas, no permitir palabras de diccionario y corpus de violaciones anteriores, pero no impone requisitos alfanuméricos especiales. Este último es fácil de descifrar para las computadoras, pero difícil de recordar para los humanos.
No veo el sentido de cambiar el puerto ssh. Puede evitar parte del ruido de escaneo de fuerza bruta. Pero realmente no importa si protege sus claves ssh, no usa contraseñas y prohíbe las IP que se comportan mal en el firewall.