Ах, Linux и безопасность — это как борщ и сметана: вместе они создают идеальный тандем, а без них жизнь становится пресной и скучной. Возьмём, к примеру, CentOS 7 — эту мудрую старушку среди дистрибутивов, которая знает о безопасности больше, чем бабушка знает про семейные тайны. Сегодня мы погрузимся в мир защиты вашей системы так, чтобы даже хакеры начали сомневаться в своей карьере.
Начнём с root-пользователя — того самого супергероя с ключами от всего замка.
Но даже супергероям нужен отпуск и ограничения! Ведь если дать ему доступ ко всем терминалам без разбора, он может случайно перепутать рабочий стол с кухней. Поэтому совет номер один: ограничьте root’у доступ только к определённым терминалам через файл /etc/securetty.
Это как сказать: «Дорогой root, ты можешь заходить только через парадную дверь, а окна оставим для гостей». Представьте себе анекдот: приходит root домой и видит табличку «Только через главный вход!». Root вздыхает и говорит: «Вот тебе и свобода!».
Теперь о паролях.
В наше время пароль должен быть сложнее формулы Эйнштейна на экзамене по физике. И менять его регулярно — не просто рекомендация, а жизненная необходимость. Помните классический анекдот про программиста?
Он придумал пароль «incorrect», чтобы каждый раз при ошибке система напоминала ему: «Ваш пароль введён неправильно». Вот примерно так работает и наш механизм напоминаний о смене пароля с помощью chage или настроек в /etc/login.defs.
Команда chage — это как личный тренер для ваших паролей: скажите ей «Поменяй пароль каждые 20 дней», и она будет вас заставлять качать мышцу безопасности регулярно. А если забыли — она сама напомнит!
Второй способ — прописать нужные значения в /etc/login.defs — своего рода договор между вами и системой о том, когда пора обновить секретный код.
Не забудьте про pam_cracklib — модуль, который смотрит на ваш пароль так строго, что он заставляет вас использовать минимум 12 символов с заглавными буквами, цифрами и спецсимволами. Это как строгая учительница математики в школе: «Если хочешь войти — реши задачу посложнее!»
А теперь поговорим о sudo — команде-великанe с двумя лицами: она либо спасёт вас от головной боли, либо устроит пожар на сервере.
Настройте файл /etc/sudoers так, чтобы пользователи не могли запускать опасные команды без вашего ведома. Кстати, добавьте опцию mailto — пусть sudo шлёт вам письма при каждом использовании своих сверхспособностей. Представьте ситуацию: администратор получает письмо посреди ночи с текстом «sudo запущен пользователем user1».
Он просыпается и думает: «Кто же у нас тут решил стать героем?»
И конечно же SSH — ваш надёжный телепорт в мир сервера. По умолчанию он слушает порт 22 — любимое место сбора ботов-сканеров вроде тех назойливых соседей из анекдота про дядю Васю: «Вася приходит к соседу каждый день искать сахар». Чтобы избавиться от таких визитов, поменяйте порт на что-то нестандартное – например 5555 – пусть ищут там! Также запретите вход под root по SSH (PermitRootLogin no), иначе хакеры будут ломиться прямо к главному шкафу с конфетами.
Парольную аутентификацию тоже лучше отключить (PasswordAuthentication no), ведь ключи SSH – это как электронные пропуска VIP-клуба: без них ни шагу вперёд!
Не забудьте настроить тайм-ауты соединения (ServerAliveInterval и ClientAliveInterval), чтобы ваша система сама заботилась о том, чтобы не держать открытыми двери слишком долго.