Hardening-ul unui server Linux pornește de la o singură întrebare, ce servicii, conturi și porturi sunt strict necesare pentru rolul acelui server. Principiul minimului privilegiu (least privilege) spune că fiecare proces, cont și conexiune de rețea primește doar drepturile necesare funcției sale, nimic în plus. Un server care găzduiește doar un site WordPress cu MySQL nu are nevoie de compilator, de servere de printare sau de un cont cu shell interactiv pentru fiecare aplicație instalată.
Suprafața de atac, măsurată concret
Suprafața de atac reprezintă suma tuturor punctelor prin care un atacator poate încerca să obțină acces, port deschis, serviciu pornit, pachet instalat, cont cu parolă slabă. O instalare Ubuntu Server 24.04 cu profilul minimal pornește cu aproximativ 90 până la 110 pachete, față de peste 500 pe o instalare desktop cu interfață grafică. Fiecare pachet în plus înseamnă cod suplimentar care poate conține o vulnerabilitate, chiar dacă serviciul respectiv nu este folosit niciodată.
Exemplu din hosting-ul de producție
Pe un VPS cu cPanel și LiteSpeed găzduind mai multe site-uri WordPress, o instalare implicită lasă adesea active servicii precum Sendmail local, FTP anonim sau module Apache nefolosite. Dezactivarea acestora nu afectează funcționarea site-urilor, dar elimină ținte pe care un scaner automat, rulat constant din intervale întregi de adrese IP, le găsește în câteva minute de la punerea în producție a unei adrese noi.
Cele patru straturi ale reducerii suprafeței de atac
- Nivelul de rețea, porturi închise implicit, deschise doar pentru servicii necesare
- Nivelul de pachete, eliminarea software-ului neinstalat de rol, cum ar fi serverul de imprimare sau compilatoarele pe un server de producție
- Nivelul de conturi, un singur cont administrativ cu sudo, fără cont root activ pentru autentificare directă
- Nivelul de procese, servicii rulate cu utilizator dedicat, fără privilegii root acolo unde nu este necesar
Modele de amenințare, de unde vine riscul real
Un model de amenințare (threat model) enumeră cine ar putea ataca serverul și cu ce scop, înainte de a alege măsurile de protecție. Pentru un server web public, principalele amenințări sunt scanarea automată de porturi, atacurile de tip brute force pe SSH, exploatarea unei vulnerabilități cunoscute (CVE) neaplicate la timp și injecțiile prin aplicația web găzduită. Pentru un server intern, riscul principal vine adesea dintr-un cont compromis prin phishing sau dintr-o stație de lucru infectată din aceeași rețea.
De ce contează ordinea pașilor
Cursul urmează o ordine deliberată, instalare minimală, apoi SSH, apoi firewall, apoi control obligatoriu al accesului prin SELinux sau AppArmor, apoi auditare. Aplicarea firewallului înainte de a avea acces SSH sigur riscă blocarea propriei sesiuni, o greșeală frecventă la administratorii aflați la primul hardening. Din acest motiv, fiecare lecție practică din acest curs recomandă păstrarea unei a doua sesiuni deschise înainte de a aplica o regulă care ar putea tăia accesul curent.
Rezultatul urmărit
La finalul acestui curs, veți putea documenta, pentru orice server nou, exact ce este pornit, de ce este pornit și ce risc acoperă fiecare măsură aplicată. Această documentație este exact ceea ce cere un audit bazat pe CIS Benchmarks sau un control ISO 27001, unde afirmația „serverul este securizat” nu are valoare fără dovada configurației și a motivului din spatele fiecărei decizii.