Pengerasan VPS — daftar periksa OPSEC jam pertama.
Delapan langkah. Jalankan ini di setiap server baru.

Ya, dengan selisih besar. Kata sandi — bahkan yang acak 16 karakter — dapat di-brute-force dalam beberapa model ancaman yang realistis; kunci SSH ed25519 memiliki 256 bit entropi dan tidak bisa. Kunci juga terikat ke perangkat tempat ia berada, sehingga penyerang membutuhkan berkas kunci DAN frasa sandi yang mendekripsinya. Nonaktifkan PasswordAuthentication sepenuhnya di sshd_config dan permukaan serangan brute-force menjadi nol.

Ini tidak menghentikan penyerang yang bertekad — mereka akan memindai semua 65.535 port. Ini MEMANG mengurangi volume kebisingan otomatis dari bot yang hanya mencoba port 22, yang berarti log yang lebih bersih dan fail2ban yang lebih sedikit tertekan. Pilih port acak antara 1024 dan 65535, tuliskan di tempat yang tidak akan Anda lupakan, perbarui firewall untuk mengizinkannya. Manfaat bersih: sekitar 90 persen lebih sedikit kebisingan log.

UFW untuk seseorang yang sedang belajar atau menjalankan satu VPS — ini adalah pembungkus yang ramah, sintaksnya mudah dibaca manusia, dan berjalan di atas iptables atau nftables di bawahnya. nftables secara langsung jika Anda menginginkan komposisi aturan yang lebih ketat, set anonim, atau menjalankan lebih dari beberapa server dan menginginkan konsistensi. Keduanya menghasilkan hasil tingkat kernel yang sama.

Patch keamanan, ya — patch tersebut memperbaiki CVE kritis dan alternatifnya adalah membiarkannya terbuka. Peningkatan paket kernel penuh lebih berisiko karena membutuhkan reboot agar berlaku; unattended-upgrades tidak akan reboot untuk Anda secara default. Baca /etc/apt/apt.conf.d/50unattended-upgrades dan putuskan: sebagian besar pelanggan NordBastion membiarkan konfigurasi tanpa pengawasan di "security-only", dan reboot secara manual setiap bulan selama jendela yang tenang.

Wajib secara ketat, tidak — setelah autentikasi kata sandi dinonaktifkan, brute-force pada SSH tidak dapat berhasil. Fail2ban tetap berguna untuk layanan lain (mail, halaman login aplikasi web, apa pun yang memiliki lapisan kredensial). Asuransi murah: apt install fail2ban, terima default, lanjutkan. 30 detik yang diperlukan untuk menginstalnya sepadan dengan log yang lebih bersih dan perlindungan layanan bonus yang diberikannya.

Bukan bagian dari jam pertama — enkripsi disk penuh dengan kunci yang dipegang pengguna memerlukan instalasi ISO khusus (pemasangan LUKS saat boot dengan frasa sandi yang harus diketik seseorang) atau opsi LUKS-on-provision NordBastion yang akan datang (peta jalan panel). Untuk sekarang, perlakukan disk sebagai dapat dibaca oleh NordBastion (dalam kasus subpoena yang tidak mungkin terjadi) dan perlakukan perlindungan yurisdiksi NordBastion sebagai lapisan yang menjaganya tetap aman. Jika model ancaman Anda memerlukan FDE sebelum diluncurkan, pasang Debian melalui rescue ISO ke dalam volume root LUKS dan buka kunci melalui konsol panel saat setiap boot — dapat dilakukan tetapi perubahan yang bermakna dalam beban operasional.

Tiga ritme yang berguna. (1) Sebelum setiap perubahan bermakna (peningkatan paket, pengeditan konfigurasi, peningkatan OS). (2) Terjadwal — sekali seminggu adalah default yang wajar untuk beban kerja produksi apa pun. (3) Sebelum setiap latihan verifikasi cadangan, sehingga Anda dapat membuktikan pemulihan berfungsi. Snapshot NordBastion berada di luar host dan terenkripsi; tidak menggunakan disk VPS Anda dan dapat dipulihkan dalam sekitar 90 detik.

Untuk jam pertama: belum — selesaikan pengerasan, jalankan beban kerja, kemudian tambahkan pemantauan setelah Anda memiliki sesuatu yang layak dipantau. Opsi ringan: node_exporter + Prometheus + Grafana di VPS kecil kedua, Netdata sebagai dasbor self-hosted satu biner, atau lebih sederhana lagi, pemeriksa uptime eksternal tingkat gratis (UptimeRobot, BetterStack) yang melakukan ping ke port publik. Pilih satu, konfigurasikan, dan lupakan — pemantauan paling berguna ketika tetap diam.