Перейти к основному содержимому

Рекомендации по безопасности для узлов

warning

Эта страница переведена сообществом на русский язык, но нуждается в улучшениях. Если вы хотите принять участие в переводе свяжитесь с @alexgton.

Обеспечение безопасности узлов, особенно в децентрализованных сетях, таких как блокчейн или распределенные системы, имеет решающее значение для поддержания целостности, конфиденциальности и доступности данных. Рекомендации по обеспечению безопасности узлов должны касаться различных уровней, от сетевых коммуникаций до конфигурации аппаратного и программного обеспечения. Вот набор рекомендаций по обеспечению безопасности узлов:

1. Используйте сервер только для запуска узла TON​

  • Использование сервера для других задач представляет потенциальную угрозу безопасности

2. Регулярно обновляйте и устанавливайте исправления​

  • Убедитесь, что ваша система всегда обновлена с помощью последних исправлений безопасности.
  • Используйте инструменты управления пакетами, такие как apt (для Debian/Ubuntu) или yum/dnf (для CentOS/Fedora), для регулярного обновления:
sudo apt update && sudo apt upgrade -y
  • Рассмотрите возможность автоматизации обновлений системы безопасности, включив автоматическое обновление.

3. Используйте надежную конфигурацию SSH​

  • Отключите вход с Root правами: запретите доступ с правами суперпользователя по SSH. Отредактируйте файл /etc/ssh/sshd_config:
PermitRootLogin no
  • Используйте SSH-ключи: Избегайте аутентификации по паролю и вместо этого используйте SSH-ключи.
PasswordAuthentication no
  • Измените порт SSH по умолчанию: Перенесите SSH на нестандартный порт, это уменьшит количество автоматических атак методом перебора. Например:
Port 2222
  • Ограничьте доступ к SSH: Разрешайте SSH только с доверенных IP-адресов с помощью правил брандмауэра

4. Настройте брандмауэр​

  • Настройте брандмауэр, чтобы разрешить только необходимые службы. Общие инструменты - это ufw (Uncomplicated Firewall) или iptables:
sudo ufw allow 22/tcp   # Allow SSH
sudo ufw allow 80/tcp   # Allow HTTP
sudo ufw allow 443/tcp  # Allow HTTPS
sudo ufw enable         # Enable firewall

5. Отслеживайте логи​

  • Регулярно проверяйте системные журналы для выявления подозрительной активности:
    • /var/log/auth.log (для попыток аутентификации)
    • /var/log/syslog или /var/log/messages
  • Рассмотрите возможность централизованного ведения журнала

6. Ограничьте права пользователей​

  • Предоставьте root права или sudo только доверенным пользователям. Используйте команду sudo с осторожностью и проведите аудит /etc/sudoers, для ограничения доступа.
  • Регулярно просматривайте учетные записи пользователей и удаляйте ненужных или неактивных пользователей.

7. Настройте SELinux или AppArmor​

  • SELinux (на RHEL/CentOS) и AppArmor (на Ubuntu/Debian) обеспечивают обязательный контроль доступа, добавляя дополнительный уровень безопасности, ограничивая доступ программ к определенным системным ресурсам.

8. Установите инструменты безопасности​

  • Используйте такие инструменты, как Lynis, для проведения регулярных проверок безопасности и выявления потенциальных уязвимостей:
sudo apt install lynis
sudo lynis audit system

9. Отключите ненужные службы​

  • Отключите или удалите неиспользуемые службы, чтобы свести к минимуму вероятность атаки. Например, если вам не нужны службы FTP или почты, отключите их с помощью:
sudo systemctl disable service_name

10. Используйте системы обнаружения и предотвращения вторжений (IDS/IPS)​

  • Установите такие инструменты, как Fail2ban, чтобы блокировать IP-адреса после слишком большого количества неудачных попыток входа в систему:
sudo apt install fail2ban
  • Используйте AIDE (Advanced Intrusion Detection Environment) для контроля целостности файлов и обнаружения несанкционированных изменений.