Hardening del VPS — la checklist OPSEC della prima ora.
Otto passaggi. Eseguire questo su ogni server nuovo.

Sì, con ampio margine. Una password — anche una casuale di 16 caratteri — è suscettibile di brute-force in alcuni modelli di minaccia realistici; una chiave SSH ed25519 ha 256 bit di entropia e non lo è. Una chiave è anche legata al dispositivo su cui risiede, quindi un attaccante ha bisogno sia del file chiave CHE della passphrase che lo decifra. Disabiliti completamente PasswordAuthentication in sshd_config e la superficie di attacco brute-force va a zero.

Non ferma un attaccante determinato — scansionerà tutte le 65.535 porte. RIDUCE però il volume di rumore automatizzato dai bot che provano solo la porta 22, il che significa log più puliti e fail2ban meno sollecitato. Scegliere una porta casuale tra 1024 e 65535, annotarla in un posto che non si perda, aggiornare il firewall per consentirla. Guadagno netto: circa il 90% di rumore nei log in meno.

UFW per chi impara o gestisce un singolo VPS — è un wrapper user-friendly, la sintassi è leggibile dall'uomo, e si trova sopra iptables o nftables. nftables direttamente se vuole una composizione di regole più rigorosa, set anonimi, o gestisce più di una manciata di server e vuole coerenza. Entrambi producono lo stesso risultato a livello kernel.

Patch di sicurezza sì — correggono CVE critici e l'alternativa è lasciarli aperti. Gli aggiornamenti completi del kernel sono più rischiosi perché richiedono un riavvio per essere applicati; unattended-upgrades non riavvia di default. Legga /etc/apt/apt.conf.d/50unattended-upgrades e decida: la maggior parte dei clienti NordBastion lascia la configurazione automatica su «solo sicurezza» e riavvia manualmente ogni mese durante una finestra tranquilla.

Strettamente necessario, no — una volta disabilitata l'autenticazione con password, il brute-force su SSH non può avere successo. fail2ban rimane utile per altri servizi (posta, pagine di login di applicazioni web, qualsiasi cosa abbia uno strato di credenziali). Assicurazione a basso costo: apt install fail2ban, accetti i default, vada avanti. I 30 secondi necessari per l'installazione valgono i log più puliti e la protezione bonus dei servizi che fornisce.

Non parte della prima ora — la crittografia completa del disco con chiave detenuta dall'utente richiede o un'installazione ISO personalizzata (montaggio di LUKS all'avvio con una passphrase che qualcuno deve digitare) o la prossima opzione NordBastion LUKS-on-provision (roadmap del pannello). Per ora, trattare il disco come leggibile da NordBastion (nell'improbabile caso di citazione in giudizio) e trattare la protezione giurisdizionale di NordBastion come il livello che lo mantiene sicuro. Se il proprio modello di minaccia richiede FDE prima del lancio, installare Debian tramite l'ISO di recupero in un volume root LUKS e sbloccare attraverso la console del pannello a ogni avvio — praticabile ma un cambiamento significativo nell'onere operativo.

Tre cadenze utili. (1) Prima di ogni modifica significativa (aggiornamento di pacchetti, modifica della configurazione, aggiornamento del SO). (2) Su pianificazione — una volta a settimana è un default ragionevole per qualsiasi workload in produzione. (3) Prima di ogni esercitazione di verifica del backup, così può dimostrare che il ripristino funziona. Gli snapshot NordBastion sono off-host e cifrati; non consumano il disco del VPS e possono essere ripristinati in circa 90 secondi.

Per la prima ora: non ancora — completare l'hardening, avviare il carico di lavoro, poi aggiungere il monitoring una volta che c'è qualcosa che vale la pena monitorare. Opzioni leggere: node_exporter + Prometheus + Grafana su un secondo VPS piccolo, Netdata come dashboard self-hosted a singolo binario, o più semplicemente ancora, un checker di uptime esterno gratuito (UptimeRobot, BetterStack) che fa ping sulle porte pubbliche. Sceglierne uno, configurarlo, e dimenticarselo — il monitoring è più utile quando rimane silenzioso.