VPS 堅牢化——最初の1時間の OPSEC チェックリスト。
八つのステップ。すべての新規サーバーでこれを実行します。

はい、断然そうです。パスワード——16文字のランダムなものでも——は一部の現実的な脅威モデルで総当たり攻撃が可能です。ed25519 SSH キーは256ビットのエントロピーを持ち、不可能です。キーはそれが存在するデバイスにも紐付けられているため、攻撃者はキーファイルとそれを復号するパスフレーズの両方が必要です。sshd_config で PasswordAuthentication を完全に無効にすると、総当たり攻撃の表面積はゼロになります。

決意した攻撃者を止めることはできません — 65,535 のすべてのポートをスキャンします。ただし、ポート22のみを試すボットからの自動ノイズの量を減らします。これはよりクリーンなログと低ストレスの fail2ban を意味します。1024〜65535 のランダムなポートを選択し、紛失しない場所に書き留め、ファイアウォールを更新して許可します。正味の利点：ログノイズが約90%減少。

UFW は学習者または単一 VPS を実行する人向け——フレンドリーなラッパーで、構文が人間に読みやすく、内部では iptables または nftables の上に位置します。より厳格なルール構成、匿名セット、または複数のサーバーを実行して一貫性を求める場合は nftables を直接使用します。どちらもカーネルレベルで同じ結果を生みます。

セキュリティパッチは適用すべきです——重大な CVE を修正し、しない選択肢はそれらを放置することになります。フルカーネルパッケージのアップグレードは再起動が必要なためリスクが高く、unattended-upgrades はデフォルトで自動再起動しません。/etc/apt/apt.conf.d/50unattended-upgrades を読んで判断してください。ほとんどの NordBastion 顧客は unattended 設定を「セキュリティのみ」に保ち、静かな時間帯に月次で手動再起動しています。

厳密には必須ではありません——パスワード認証をオフにすれば SSH へのブルートフォースは成功しません。Fail2ban は他のサービス（メール、ウェブアプリのログインページ、認証レイヤーを持つもの）で引き続き有用です。安価な保険として：apt install fail2ban、デフォルトを受け入れ、次へ進みます。インストールに要する30秒は、クリーンなログと追加のサービス保護の価値があります。

最初の1時間には含まれません——ユーザー保持鍵による完全ディスク暗号化には、カスタム ISO インストール（誰かがパスフレーズを入力して起動時に LUKS をマウントする）または近日公開予定の NordBastion LUKS オンプロビジョニングオプション（パネルロードマップ）が必要です。今のところ、ディスクは NordBastion によって読み取り可能（召喚状の万一の場合）として扱い、NordBastion の管轄上の保護を安全を守る層として扱ってください。脅威モデルが起動前に FDE を必要とする場合は、レスキュー ISO から Debian を LUKS ルートボリュームにインストールし、起動のたびにパネルコンソールでアンロックしてください——実現可能ですが、運用負担に大きな変化が生じます。

3つの有用なタイミング。（1）意味のある変更（パッケージアップグレード、設定編集、OS アップグレード）の前。（2）スケジュールに従って——週1回がどの本番ワークロードにも合理的なデフォルトです。（3）バックアップ検証訓練の前——復元が機能することを証明するために。NordBastion のスナップショットはオフホストで暗号化されており、VPS ディスクを消費せず約90秒で復元できます。

最初の1時間では：まだです — ハードニングを完了させ、ワークロードを稼働させてから、監視する価値のあるものができたら監視を追加します。軽量なオプション：二台目の小型 VPS に node_exporter + Prometheus + Grafana、シングルバイナリのセルフホスト型ダッシュボードとして Netdata、またはさらにシンプルに、パブリックポートに ping する無料ティアの外部稼働確認チェッカー（UptimeRobot、BetterStack）。一つを選択して設定し、忘れましょう — 監視は黙っているときが最も有用です。