VPS — это сервер, за безопасность которого отвечаете вы сами. Без базовой защиты злоумышленник может получить доступ к сайту, почте или платежным данным клиентов. В статье — 10 конкретных действий: от настройки SSH-ключей до проверки резервных копий. Вы сможете либо выполнить их самостоятельно, либо понять, какие работы стоит поручить специалистам по безопасному хостингу.
Почему базовая защита VPS — не роскошь, а необходимость?
Малый бизнес часто считает, что его сервер никому не интересен. На деле автоматические боты сканируют все IP-адреса и пытаются подобрать пароли. Если не отключить вход root по паролю, взлом — вопрос времени. После взлома сервер могут использовать для рассылки спама или размещения фишинга, а ваш сайт заблокирует поисковик. Восстановление репутации обойдется дороже, чем профилактика.
Источник: рекомендации по облачной безопасности для микробизнеса подтверждают, что 80% атак — автоматические и направлены именно на слабые конфигурации.
Шаг 1. Надёжные пароли и SSH-ключи
Пароль длиной 12 символов с цифрами, буквами и спецсимволами — минимум. Но ещё лучше полностью отказаться от парольного входа по SSH и использовать SSH-ключи. Ключ генерируется на вашем компьютере, публичная часть загружается на сервер. Тогда даже если злоумышленник узнает логин, войти без файла ключа он не сможет.
После настройки ключей отключите аутентификацию по паролю в файле /etc/ssh/sshd_config — установите PasswordAuthentication no. Затем перезапустите SSH-сервер.
Шаг 2. Отключение входа root и настройка firewall
Вход от root — прямая дорога к полному контролю над сервером. Создайте обычного пользователя с правами sudo и используйте его для повседневной работы. Вход root по SSH запретите параметром PermitRootLogin no.
Firewall (iptables, ufw или nftables) должен разрешать только необходимые порты: 22 (SSH), 80/443 (веб), 25/465/587 (почта — если используете). Остальные закройте. Для белорусских пользователей дополнительно проверьте, что firewall не блокирует локальные адреса, если вы работаете через белорусского хостинг-провайдера.
Шаг 3. Регулярные обновления ОС и пакетов
Обновления закрывают известные уязвимости. Настройте автоматическую установку критических обновлений безопасности. Для Debian/Ubuntu это пакет unattended-upgrades. Раз в месяц проверяйте обновления вручную командой apt update && apt upgrade. Не откладывайте на потом — эксплойты появляются уже через несколько часов после выхода патча.
Шаг 4. MFA (многофакторная аутентификация) для доступа к панели управления
Даже если вы используете ispmanager, Vestacp или другую панель, включите двухфакторную аутентификацию. Это защитит от взлома, если пароль от панели окажется скомпрометирован. Большинство панелей поддерживают MFA через приложения-аутентификаторы (Google Authenticator, Authy).
Шаг 5. Минимальные права пользователей
Каждому сотруднику или сервису давайте только те права, которые нужны для работы. Не используйте единый аккаунт с полным доступом. Например, для веб-сервера создайте пользователя www-data без shell-доступа. Для администрирования базы данных — отдельного пользователя с доступом только к нужной БД.
Шаг 6. fail2ban — блокировка подбора паролей
Утилита fail2ban анализирует логи и временно блокирует IP-адреса, с которых происходит много неудачных попыток входа. Настройте её для SSH, веб-сервера и почты. Стандартные настройки уже работают, но стоит увеличить время блокировки до 24 часов и снизить порог: например, 3 неудачные попытки за 10 минут.
Шаг 7. Мониторинг и анализ логов
Логи — глаза администратора. Настройте централизованный сбор логов (syslog, rsyslog) и проверяйте подозрительную активность: необычное время входа, частые ошибки, попытки доступа к несуществующим пользователям. Для малого бизнеса подойдёт бесплатный Logwatch — он раз в день присылает сводку на email.
Шаг 8. Резервные копии и проверка восстановления
Резервное копирование — это не про удобство, а про безопасность. Даже если сервер взломан, свежая копия позволит восстановить сайт и данные. Делайте бэкапы автоматически хотя бы раз в сутки, храните их на отдельном хранилище (S3, FTP). Главное — ежемесячно проверяйте, что восстановление действительно работает. Не доверяйте бекапу, который никогда не тестировали.
Шаг 9. Защита почтового сервера
Если вы используете VPS для корпоративной почты, настройте SPF, DKIM и DMARC. Это помешает злоумышленникам отправлять письма от вашего имени. Подробнее читайте в руководстве по настройке DMARC, DKIM и SPF для белорусского бизнеса. Также ограничьте число одновременных соединений с почтового сервера, чтобы его не использовали для спам-рассылок.
Шаг 10. Проверка восстановления после сбоя
Создайте чек-лист действий на случай взлома: отключение сервера от сети, смена всех паролей, восстановление из бэкапа, анализ уязвимости. Проведите учебный «взлом» — попробуйте восстановиться по инструкции. Если что-то не работает, исправьте процесс, пока не случилась реальная авария.
Типичные ошибки при настройке безопасности VPS
- Оставляют стандартный порт SSH (22) — боты атакуют именно его. Смените порт на нестандартный (например, 2222) и настройте firewall.
- Используют простые пароли или пароль вместо SSH-ключа для root.
- Не обновляют ОС месяцами — накапливаются критические уязвимости.
- Дают всем сотрудникам root-доступ «для удобства».
- Настраивают резервное копирование, но никогда не проверяют, можно ли из него восстановиться.
- Не включают fail2ban — сервер становится лёгкой мишенью для брутфорса.
3 шага, которые можно сделать сегодня:
- Сменить пароль root на SSH-ключ и отключить вход по паролю.
- Установить и настроить fail2ban для SSH.
- Настроить автоматическое ежедневное резервное копирование и проверить восстановление на тестовом сервере.
