Usare una checklist ricorrente, non un hardening una tantum
L’hardening iniziale è solo il primo controllo. Un VPS sicuro richiede inventario aggiornato, accessi attribuibili, software supportato, patch pianificate, esposizione limitata, rilevamento utile, procedura incidenti, backup indipendenti e ripristini ripetuti.
Dati principali
- Ritmo
- Dopo modifiche, avvisi e secondo calendario
- Accesso
- Account individuali, SSH, privilegi minimi, recupero protetto
- Patch
- Software supportato, aggiornamenti e riavvii verificati
- Prova recupero
- Ripristino riuscito, non solo job di backup
Mantenere inventario e responsabili
Registra scopo, regione, sistema, repository, app, domini, certificati, IP, servizi, amministratori, automazione, segreti, backup, monitoraggio e dipendenze. Assegna proprietario e data.
Confronta intenzione e realtà. ss -lntup mostra listener; inventari spiegano i processi. Proteggi l’output e rimuovi immagini, repository, esempi, account, chiavi e DNS obsoleti.
- Giustifica ogni porta.
- Monitora scadenze fuori server.
- Rivedi dopo ogni modifica.
Accesso ristretto e recuperabile
Dai account e chiavi individuali, privilegi minimi e revoca rapida. Controlla /etc/ssh/sshd_config, valida prima del reload e mantieni seconda sessione o console.
Proteggi l’account hosting con password unica e MFA. Conserva emergenza e codici fuori VPS. Limiti e monitoraggio non sostituiscono chiavi forti e software aggiornato.
- Limita root dopo aver provato un’alternativa.
- Ruota credenziali dopo cambi o sospetti.
- Mai chiavi o codici nei ticket.
Aggiornare e verificare
Usa sistema supportato e fonti affidabili. Segui avvisi, pianifica e prova. Un update termina solo dopo riavvio e controllo applicativo.
Includi runtime, container, pannelli, plugin, librerie, database e app. Automatizza rilevando guasti e reboot; ritira software senza supporto.
- Crea un punto recuperabile, non unico backup.
- Verifica firme e repository.
- Registra eccezioni e scadenze.
Rilevare e preparare la risposta
Monitora disponibilità, accessi, privilegi, listener, disco, backup, traffico e applicazioni. Usa journalctl e log pertinenti, raccogliendo solo dati con uno scopo e proteggendoli.
Scrivi chi contiene, come accede, dove conserva prove, cosa ruota, come ricostruisce e chi comunica. Preserva prove prima di pulire quando sicuro e legale.
- Sincronizza ora e fuso.
- Invia alert fuori VPS.
- Esercita un incidente.
Testare recupero e chiudere la revisione
Conserva backup cifrati e versionati fuori dominio. Ripristina isolato includendo database, permessi, segreti, certificati e salute. Misura età e tempo.
Esegui dopo cambi e periodicamente. Registra risultati, proprietari, scadenze e chiusura. Alla dismissione esporta, revoca, elimina DNS, automazione e dati e aggiorna il monitoraggio.
- Mantieni istruzioni senza pannello.
- Rivedi accesso, patch, esposizione, alert e recupero insieme.
- Trasforma guasti in miglioramenti.
Fonti
Domande frequenti
Quanto spesso rivedere?
Dopo modifiche o avvisi e secondo calendario. Sistemi pubblici e sensibili richiedono più frequenza.
Cambiare porta SSH basta?
Riduce rumore, ma non sostituisce chiavi, patch, accessi, firewall, monitoraggio e recupero.
Aggiornamenti automatici?
Possono ridurre esposizione, ma definisci permessi, manutenzione, reboot, alert e controlli. I sistemi critici possono richiedere staging.
Test minimo di backup?
Ripristina dati e configurazione in isolamento, avvia, verifica, misura e documenta dipendenze mancanti.