Sichern Sie einen neuen Ubuntu-VPS Schritt für Schritt ab
Sichern Sie einen neuen Ubuntu-VPS ab: Aktualisieren Sie das System, erstellen Sie ein benanntes Administratorkonto, prüfen Sie den SSH-Zugang per Schlüssel, beschränken Sie erreichbare Dienste, aktivieren Sie eine Host-Firewall und richten Sie Überwachung und Sicherungen ein. Führen Sie Änderungen in der richtigen Reihenfolge durch, halten Sie die Anbieterkonsole verfügbar und schließen Sie die ursprüngliche SSH-Sitzung erst, nachdem eine zweite Verbindung erfolgreich war.
Wichtige Fakten
- Gilt für
- Unterstützte Ubuntu-Server-Versionen mit systemd und OpenSSH
- Primärschutz
- Behalten Sie den Konsolenzugriff und testen Sie eine zweite Sitzung
- Authentifizierung
- Passphrasengeschützter SSH-Schlüssel für einen benannten Benutzer
- Wiederherstellung
- Unabhängige Sicherung und getestete Wiederherstellung
Aktualisieren und Überprüfen, bevor Sie den Zugriff ändern
Erstellen Sie nur dann einen Anbieter-Snapshot, wenn die Plattform diese Möglichkeit bietet und Sie verstanden haben, dass er keine unabhängige Sicherung ist. Melden Sie sich über das dokumentierte Erstzugangsverfahren an, bestätigen Sie das Betriebssystem-Image und installieren Sie Repository-Aktualisierungen mit sudo apt update gefolgt von sudo apt full-upgrade. Lesen Sie die Rückfragen, bevor Sie Konfigurationsdateien ersetzen, und führen Sie sudo reboot aus, wenn Kernel oder zentrale Komponenten dies erfordern.
Verbinden Sie sich erneut und erfassen Sie mit sudo ss -tulpn alle lauschenden Prozesse. Jeder öffentlich erreichbare Prozess benötigt einen Verantwortlichen und einen Zweck. Ein minimales Ubuntu-Cloud-Image kann sich von einem Installations-Image unterscheiden; setzen Sie deshalb keine aktivierten Dienste voraus. Dokumentieren Sie den Ausgangszustand, bevor Sie einen Anwendungs-Stack installieren.
- Verwenden Sie nur Repositories und Schlüssel, denen Sie bewusst vertrauen.
- Entfernen Sie nicht verwendete Software, nachdem Sie bestätigt haben, dass es sich nicht um eine Abhängigkeit handelt.
- Planen Sie regelmäßige Aktualisierungen, statt die erste Aktualisierung als einmaliges Ereignis zu behandeln.
Erstellen Sie ein benanntes Administratorkonto und testen Sie den SSH-Schlüssel
Erstellen Sie mit sudo adduser deploy ein separates Konto, ersetzen Sie deploy durch den gewählten Namen und gewähren Sie anschließend mit sudo usermod -aG sudo deploy administrative Rechte. Fügen Sie den öffentlichen Teil Ihres SSH-Schlüssels zur Datei ~/.ssh/authorized_keys dieses Benutzers hinzu, entweder über die Schlüsselfunktion des Anbieters oder mit ssh-copy-id. Laden Sie niemals die Datei mit dem privaten Schlüssel hoch.
Öffnen Sie ein zweites Terminal und testen Sie ssh deploy@SERVER_IP. Prüfen Sie, ob sudo -v funktioniert. Erst danach sollten Sie die direkte Root-Anmeldung und die Passwortanmeldung deaktivieren. Bearbeiten Sie mit sudoedit /etc/ssh/sshd_config.d/60-local-hardening.conf eine zusätzliche Konfigurationsdatei, setzen Sie PermitRootLogin no und PasswordAuthentication no, prüfen Sie mit sudo sshd -t und laden Sie SSH anschließend mit sudo systemctl reload ssh neu. Halten Sie die vorhandene Sitzung offen und testen Sie erneut.
- Ersetzen Sie alle Beispielnamen und Adressen explizit.
- Verwenden Sie eine lokale Passphrase und einen Passwort-Manager oder einen sicheren Agenten.
- Wenn die Validierung fehlschlägt, beheben Sie die Datei; laden Sie SSH nicht neu.
Nur erforderliche Netzwerkdienste zulassen
UFW ist unter Ubuntu eine praktische Oberfläche für die Host-Firewall. Prüfen Sie zunächst, ob der SSH-Dienst den erwarteten Port verwendet. Erlauben Sie ihn mit sudo ufw allow OpenSSH; haben Sie den Port bewusst geändert, erstellen Sie stattdessen eine passende Regel. Prüfen Sie den vorgesehenen Zustand mit sudo ufw status verbose, aktivieren Sie die Firewall mit sudo ufw enable und testen Sie den Zugang aus einem neuen Terminal, bevor Sie das alte schließen.
Öffnen Sie Anwendungsports erst, wenn der betreffende Dienst installiert und bereit ist. Für einen Webserver sind das meist TCP 80 und 443, doch es gibt keine allgemeingültige Liste. Eine Firewall des Anbieters und UFW können sich ergänzen; dokumentieren Sie beide, damit bei einem Vorfall klar ist, welche Ebene den Verkehr blockiert.
- Aktivieren Sie aus der Ferne niemals eine standardmäßig sperrende Firewall ohne eine SSH-Freigaberegel.
- Binden Sie private Datenbanken an lokale oder private Schnittstellen.
- Führen Sie
sudo ss -tulpnnach dem Bereitstellen der Software erneut aus.
Machen Sie die Härtung zum festen Betriebsablauf
Installieren und prüfen Sie automatische Sicherheitsaktualisierungen mit sudo apt install unattended-upgrades und konfigurieren Sie sie nach Ihrer Wartungs- und Neustartrichtlinie. Überwachen Sie Datenträger, Arbeitsspeicher, Authentifizierungsfehler, Dienstzustand, Zertifikatsablauf und Ergebnisse der Sicherungen. Machen Sie einen Überwachungsagenten nicht ohne Authentifizierung und Netzwerkbeschränkungen erreichbar.
Erstellen Sie eine unabhängige, versionierte Sicherung und stellen Sie sie in einem isolierten Testsystem wieder her. Bewahren Sie Wiederherstellungscodes und Anweisungen für die Konsole getrennt vom VPS auf. Sicherheitseinstellungen ändern sich; vergleichen Sie diese allgemeine Prüfliste deshalb vor dem Produktivbetrieb mit der aktuellen Ubuntu-Dokumentation und den Anforderungen Ihrer Anwendung.
- Überprüfen Sie Administratorkonten und Schlüssel regelmäßig.
- Aktualisieren Sie Anwendungen ebenso wie das Betriebssystem.
- Dokumentieren Sie einen Wiederherstellungspfad, bevor Sie eine Anmeldemethode entfernen.
Quellen
Häufige Fragen
Sollte ich den SSH-Port wechseln?
Das kann die Menge gewöhnlicher Scanversuche verringern, ersetzt aber weder Schlüsselauthentifizierung noch Aktualisierungen, Zugriffskontrollen oder Überwachung. Wenn Sie den Port ändern, passen Sie jede Firewall-Ebene an und testen Sie, bevor Sie die Sitzung beenden.
Kann ich die Root-Anmeldung sofort deaktivieren?
Erst nachdem sich ein benannter Benutzer per Schlüssel authentifizieren, den erforderlichen sudo-Zugriff verwenden und in einer getrennten Sitzung erneut verbinden kann. Halten Sie die Wiederherstellung über die Konsole verfügbar.
Ist UFW genug, um den VPS zu sichern?
Nein. Eine Firewall beschränkt die Erreichbarkeit über das Netzwerk; sie aktualisiert keine anfällige Software, schützt keine gestohlenen Zugangsdaten, sichert keine Anwendungslogik ab und ersetzt keine Sicherungen.