Grundlegende Absicherung eines neuen Servers

Updaten und Upgraden des Systems 

 Aktualisieren der Paketquellen mit dem Befehl: 

 sudo apt update 

 Ausführen von Upgrades der installierten Pakete mit dem Befehl: 

 sudo apt upgrade 

 Beide Befehle lassen sich auch mit folgendem Befehl kombinieren: 

 sudo apt update && sudo apt upgrade -y 

 Optional - Durchführen eines Distribution-Upgrades: Falls verfügbar, kann auch ein Upgrade der kompletten Ubuntu-Installation auf eine neuere Version durchgeführt werden: 

 sudo apt dist-upgrade 

 Installation von automatischen Sicherheitsupdates 

 Mit dem Tool unattended-upgrades können automatisch Sicherheits- sowie andere essenzielle Updates vom System installiert werden. In der Regel ist dies automatisch installiert, wenn nicht, kann es mit folgendem Befehl installiert werden: 

 sudo apt update

sudo apt install unattended-upgrades 

 In der Grundkonfiguration werden Bugfixes und Sicherheitsupdates automatisch installiert, allerdings das System nicht neu gestartet, wenn dies notwendig ist. Für eine ausführlichere Konfiguration empfehle ich den Artikel von DigitalOcean zum Thema. 

 Hinzufügen eines neuen Benutzers 

 Standardmäßig kommt ein Cloud-Server mit einem Root-Login. Dieser wurde je nach Auswahl bei der Einrichtung mit einem Passwort versehen oder bereits mit einem SSH-Key für den Login ausgestattet. Egal was hier zutrifft, es empfiehlt sich den Root-User nicht zu benutzen. Dafür muss mit folgendem Befehl erst mal ein neuer User erstellt werden: 

 adduser <username> 

 Dabei werden nach grundlegenden Informationen wie Passwort, voller Name und anderen Informationen gefragt. Um am Ende auch sudo-Befehle ausführen zu können, muss dieser Benutzer noch der sudo-Gruppe hinzugefügt werden. Das kann mit folgendem Befehl erreicht werden: 

 usermod -aG sudo <username> 

 Dieser Benutzer hat allerdings noch keinen SSH-Key für den Login hinterlegt. Um diesen hinzuzufügen, gibt es mehrere Optionen. 

 Existierender SSH-Key auf dem Server 

 Wenn der Root-Benutzer bereits einen hat und dieser auch für den neuen Benutzer genutzt werden soll, kann das Key mit folgenden Befehlen kopiert und mit den richtigen Berechtigungen versehen werden. Das muss mit dem neuen Benutzer ausgeführt werden. 

 Erstellen des  .ssh-Ordners für den Key 

 mkdir /home/$USER/.ssh 

 Das Verzeichnis nur für den Benutzer ausführbar machen 

 chmod 700 /home/$USER/.ssh 

 Kopieren der authorized_keys -Datei welche den öffentlichen Schlüssel enthält 

 sudo cp /root/.ssh/authorized_keys /home/$USER/.ssh/authorized_keys 

 Alles im .ssh -Verzeichnis zum Eigentum des Benutzers machen 

 sudo chown -R $USER:$USER /home/$USER/.ssh 

 Die Datei nur für den Benutzer lesbar machen 

 sudo chmod 600 /home/$USER/.ssh/authorized_keys 

 Existierender SSH-Key auf dem eigenen Computer 

 Eine andere Möglichkeit für das Übertragen des SSH-Keys ist das Kopieren dieses von einem System, welches bereits einen generiert hat. Das kann mit folgendem Befehl erreicht werden. Voraussetzung ist allerdings, dass der SSH-Login mit dem Passwort für den neuen Benutzer noch nicht deaktiviert wurde: 

 ssh-copy-id <username>@<hostname.example.com> 

 Hier sollte <username> der neu angelegte User sein und <hostname.example.com> die IP-Adresse oder Hostname des Servers. Ab jetzt sollte ein Login mit dem SSH-Key möglich sein. 

 Abhärten vom SSH-Server 

 Um den Login für den Root-Benutzer sowie das Anmelden mit einem Passwort zu deaktiveren, müssen folgende Zeilen in der Datei  /etc/ssh/sshd_config angepasst werden. 

 Mit einem Editor die Datei sshd_config öffnen 

 sudo nano /etc/ssh/sshd_config 

 Wenn nicht schon auf no gesetzt, dies bei ChallengeResponseAuthentication machen 

 ChallengeResponseAuthentication no 

 Dann den Punkt  PermitRootLogin auf no setzen 

 PermitRootLogin no 

 Und den Punkt  PasswordAuthentication sowie UsePAM auf  no setzen 

 PasswordAuthentication no

UserPAM no 

 Zu guter Letzt den Editor verlassen und den SSH-Dienst mit folgendem Befehl neu starten: 

 sudo systemctl reload ssh 

 Ab jetzt ist ein Root- sowie Passwort basierter Login nicht mehr möglich. 

 Fail2ban für SSH einrichten 

 Fail2ban kann Brute-Force-Angriffe erheblich eindämmen, indem es Regeln erstellt, die die Konfiguration der Firewall so ändert, dass bestimmte IPs nach einer bestimmten Anzahl von erfolglosen Anmeldeversuchen gesperrt werden. So kann sich der Server gegen diese Zugriffsversuche abhärten, ohne dass man selbst eingreifen muss. 

 Zu aller erst muss die Software installiert werden. Dies kann mit folgenden Befehlen gemacht werden: 

 sudo apt update

sudo apt install fail2ban 

 Nach der Installation ist noch keine Konfiguration aktiv. Hierfür muss die Beispielkonfiguration jail.conf kopiert und ggf. angepasst werden: 

 sudo cp /etc/fail2ban/jail.{conf,local} 

 Out of the box sind die Einstellungen schon für den normalen Gebrauch gut gesetzt. Diese können aber auch beliebig angepasst werden. Ein guter Einstieg in das Thema bietet der Artikel von linuxize.com . 

 Zu guter Letzt muss auch der Dienst neu gestartet werden, um die Konfiguration zu aktiveren. Dies kann mit folgendem Befehl gemacht werden: 

 sudo systemctl restart fail2ban