Verifica finale: il Suo server alla prova

Modulo 10: Restare al sicuro · Tempo di lettura: 10 minuti

Obiettivo della lezione: Dopo questa lezione saprà valutare il Suo server con una checklist e con un controllo automatico dall'esterno, saprà quali punti hanno la precedenza e avrà un ritmo di manutenzione fisso e un breve dossier del server.

Concetti chiave: checklist, priorità, controllo dall'esterno, dossier del server, ritmo di manutenzione (settimanale, mensile, trimestrale, annuale), data di fine supporto della release, test di ripristino

Dalle singole lezioni a un insieme unico

In questo corso ha configurato un server passo dopo passo: accesso sicuro, permessi, aggiornamenti, firewall, servizi, un sito web con https, backup, monitoraggio e container. In quest'ultima lezione mette tutto in un unico elenco. Verifica il Suo server, lascia che il programma del corso lo controlli dall'esterno e stabilisce come manterrà il server nei prossimi anni.

Un server non è mai "finito". Il software invecchia, i certificati scadono, i dischi si riempiono, le release arrivano a fine vita (end of life). Un ritmo fisso è quindi importante quanto la configurazione iniziale.

La checklist, in ordine di importanza

Non tutto è ugualmente urgente. Percorra l'elenco dall'alto verso il basso: i primi blocchi evitano la maggior parte dei guai.

Blocco 1: nessuno entra senza permesso (moduli 2, 3, 5)

• Accesso solo con chiavi; PasswordAuthentication no e KbdInteractiveAuthentication no, verificati con sudo sshd -T.
• Root non accede con una password; Lei lavora come utente normale con sudo.
• Database, cache e cluster di ricerca sono in ascolto su 127.0.0.1; le porte 3306, 5432, 6379, 9200 e 27017 sono chiuse dall'esterno, sia per IPv4 sia per IPv6.
• Un firewall che per impostazione predefinita blocca tutto il traffico in entrata; aperte solo le porte di cui ha bisogno.
• fail2ban è attivo per SSH (fail2ban-client status sshd).

Blocco 2: le falle vengono chiuse (modulo 4)

• Aggiornamenti di sicurezza automatici attivi e verificati (log, apt list --upgradable).
• Un piano per i riavvii; /var/run/reboot-required non resta lì per settimane.
• La release è ancora supportata; la data di fine supporto è segnata nella Sua agenda.

Blocco 3: può tornare indietro (modulo 8)

• Backup cifrati fuori dal server, automatici, con monitoraggio.
• Un test di ripristino eseguito, e sa quanto tempo richiede il ripristino.
• Sa come creare uno snapshot e come aprire la console.

Blocco 4: l'esterno è in ordine (modulo 7)

• I record A e AAAA puntano al Suo server; il DNS inverso (PTR) punta di nuovo allo stesso nome.
• https con un certificato valido che si rinnova da solo; http reindirizza a https.
• HSTS e alcuni header di sicurezza; un security.txt con un indirizzo di contatto funzionante e una data di scadenza.

Blocco 5: vede cosa succede (moduli 6, 8)

• Il journal è persistente; può leggere i log di prima di un riavvio.
• Monitoraggio dall'esterno (raggiungibilità, certificato) e dall'interno (disco, servizi), con notifiche che arrivano davvero.
• systemctl --failed è vuoto.

Blocco 6: container sotto controllo (modulo 9, se usa Docker)

• Porte dei container su 127.0.0.1 o dietro il reverse proxy; nessun docker.sock nei container che non ne hanno davvero bisogno.
• I volumi sono inclusi nel backup; le immagini vengono aggiornate regolarmente.
• I segreti si trovano in file .env con permessi restrittivi, non in Git.

Il controllo dall'esterno

Una parte di questo elenco può essere verificata dal programma del corso dall'esterno, esattamente come chiunque su internet vede il Suo server. L'esercizio finale (Z10.4) combina i controlli degli esercizi precedenti:

Il programma non esegue nulla sul Suo server, non prova password e non scansiona altre porte. Ogni indirizzo può essere controllato solo poche volte all'ora. Un esito verde significa: dall'esterno gli errori più noti sono assenti. Non dice nulla su ciò che accade all'interno del Suo server; quello è il resto della checklist, e lo verifica Lei stesso.

Il dossier del server

Scriva per ogni server un breve documento, conservato fuori dal server (per esempio nel Suo gestore di password o in una cartella condivisa):

• nome, indirizzi IP, fornitore, release e data di fine supporto;
• che cosa è in esecuzione (servizi, container, siti web) e perché;
• quali porte sono aperte e per quale scopo;
• dove si trovano i backup, come si esegue il ripristino, quando è stato fatto l'ultimo test;
• quali segreti si trovano sul server (non i segreti stessi, ma quali sono e dove vanno sostituiti);
• che cosa ha fatto consapevolmente in modo diverso dallo standard (per esempio un suggerimento di Lynis che ha saltato, lezione 10.1);
• chi ha accesso (quali chiavi sono in authorized_keys).

Questo dossier vale oro in caso di incidente (lezione 10.3), durante un upgrade di release (lezione 4.3) e quando qualcun altro subentra nella gestione.

Un ritmo di manutenzione

Senza un ritmo, l'attenzione cala. Ecco un esempio per un piccolo server; lo adatti alla Sua situazione.

Segni questi momenti nella Sua agenda. Gran parte può essere automatizzata anche con il monitoraggio della lezione 8.3, ma controllare di persona resta necessario.

Nella pratica

Che il Suo server si trovi presso WebOké o presso un altro fornitore: il fornitore si occupa dell'hardware, della rete e della possibilità di creare snapshot e backup, Lei di tutto ciò che sta dentro il server. Questo corso è un percorso di autoformazione: nessuno controlla il Suo server al posto Suo. Con questa checklist, il dossier e il ritmo ha però tutto ciò che serve per svolgere questa gestione in autonomia e nel modo giusto.

Riepilogo

• Verifichi il Suo server per blocchi: nessuno entra senza permesso, le falle vengono chiuse, può tornare indietro, l'esterno è in ordine, vede cosa succede, container sotto controllo.
• Il controllo dall'esterno esamina i metodi di accesso SSH, le porte dei database, https, gli header, security.txt e l'header del Suo container; il resto lo verifica Lei stesso.
• Tenga un dossier del server, fuori dal server.
• Lavori con un ritmo fisso: settimanale, mensile, trimestrale e annuale.

Quiz

Esercizio

Esercizio Z10.4: Esercizio finale: il Suo server visto dall'esterno. Lasci che il programma del corso controlli il Suo server dall'esterno in un'unica volta: i metodi di accesso SSH per il Suo nome utente, le cinque porte dei database, https e gli header del Suo sito, il Suo security.txt e l'header X-Weboke-Cursus con il Suo codice sul nome su cui è in esecuzione il Suo container. Compili inoltre la checklist dei blocchi da 1 a 6 per ciò che il programma non può vedere.

Esercizio O10.4: Il Suo ritmo di manutenzione. Crei il Suo dossier del server e il Suo ritmo di manutenzione: che cosa fa ogni settimana, ogni mese, ogni trimestre e ogni anno, e segni questi momenti nella Sua agenda.

Per approfondire

• Proteggere il suo VPS: i primi cinque minuti
• Intestazioni HSTS e di sicurezza per il Suo sito web
• Strategia di backup: la regola del 3-2-1 per la Sua azienda
• securitytxt.org (spiegazione e generatore per security.txt): https://securitytxt.org/
• Il NCSC olandese, Elaborare una strategia di backup (fonte olandese, in neerlandese): https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen