Я собираюсь установить новый сервер Ubuntu после того, как у меня появился этот вирус.https://askubuntu.com/questions/1115770/crond64-tsm-virus-in-ubuntu.
При установке нового VPS я собираюсь установить clamav и следовать следующим советам по защите:https://www.eurovps.com/blog/20-ways-to-secure-linux-vps/
Достаточно ли этого или есть еще какие-то советы в целом или конкретно по этому вирусу, которые мне следует применить к новому VPS?
Спасибо
решение1
Если вы действительно скомпрометированы, самое главное — провести комплексный анализ первопричины. Смотрите канонический вопрос по этой теме:Что делать, если сервер взломан? Посмотрите, какие процессы и технические средства контроля дали сбой для каждой системы. Это займет много времени, но стоит того, чтобы не повторять эти ошибки.
После того, как вы извлекли уроки, да, переустановка с чистой, заведомо исправной операционной системы — разумное решение.
- Регулярно обновляйте программное обеспечение. Операционная система и приложение.
- Устанавливайте ПО только из источников, которым вы доверяете. Помните, что ваша цепочка поставок ПО может быть уязвима для слабой opsec разработчиков.
- Предоставляйте оболочки только тем пользователям, которым вы доверяете.
- Используйте ключи SSH и полностью отключите пароли.
- Обратите внимание на время последнего входа в систему, когда вы или ваша команда не входили в нее или находились за пределами вашего типичного IP-пространства.
- Следите за использованием ресурсов ЦП, 100% — это плохо.
И так далее. Безопасность — это еще не все, но гигиена — ее большая часть.
Некоторые советы EuroVPS ошибочны.
IPv6 должен быть включен.
- Лучше установить надлежащие меры контроля, чем игнорировать v6, поскольку она никуда не денется.
- Для злоумышленников невозможно сканировать все адресное пространство, как v4. Им придется найти ваш DNS, как и всем остальным.
- 30% мирового трафика Google приходится на IPv6
- IPv6 во многих сетях быстрее, чем v4
Сложность пароля, состоящего из специальных букв и цифр, устарела.НИСТ 800-63Бговорит, что разрешает очень длинные пароли, запрещает слова из словаря и предыдущие корпуса взлома, но не налагает специальных буквенно-цифровых требований. Последнее легко взломать компьютерам, но трудно запомнить людям.
Я не вижу смысла менять порт ssh. Вы можете избежать шума от сканирования методом подбора. Но это не имеет значения, если вы защищаете свои ключи ssh, не используете пароли и запрещаете некорректно работающие IP-адреса на брандмауэре.