Область базы знаний
Безопасность серверов — защита ОС, сервисов, учётных записей и инфраструктурных данных от несанкционированного доступа и атак. Область предназначена для тех, кто впервые настраивает сервер, администрирует Linux или Windows Server, отвечает за сервисы и доступы, а также выбирает оборудование и требования к его эксплуатации. Здесь рассматриваются защитные меры на уровне операционной системы, сетевых правил хоста, удалённого доступа, сертификатов, обновлений, журналов и уязвимостей.
Начните со статьи «Базовая защита сервера: как составить security baseline»: она задаёт минимальные требования, порядок приоритетов и основу для дальнейшей настройки. Теоретические материалы объясняют принципы политик firewall, TLS, сегментации, защиты данных и контроля угроз. Практические статьи посвящены настройке конкретных механизмов Linux и Windows Server. Сравнение помогает выбрать подход к MAC, а раздел решений используется для диагностики типовых отказов SSH и TLS.
В практике собраны инструкции по hardening, SSH-ключам и правам, firewall и iptables или nftables, SELinux и AppArmor, обновлениям, аудиту, журналам, защите RDP, BMC и работе с уязвимостями. Отдельно разобраны выпуск и настройка сертификатов, Fail2ban, секреты и первые действия при взломе. Вопросы IP-адресации, VLAN, маршрутизации и связности относятся к «Сетям серверов»; установка ОС и базовое администрирование — к «Администрированию Linux-серверов» и «Microsoft Windows Server». Защитные функции гипервизоров, контейнеров, резервное копирование и восстановление рассматриваются в соответствующих областях.
Локальный firewall снижает нагрузку, пока трафик доходит до сервера, но не освобождает уже насыщенный канал. Разбираем границы защиты и порядок действий при перегрузке.
Как разделить пользовательскую, серверную и управляющую зоны и организовать удалённое администрирование через VPN, bastion host или их сочетание без публикации SSH, RDP и BMC в интернете.
Разбираем разницу IDS и IPS, границы сетевого и хостового контроля, а также безопасный старт Suricata и OSSEC.
Как защитить данные физического сервера в покое с помощью LUKS или BitLocker, какую роль играют TPM и Secure Boot и как не потерять доступ при восстановлении.
Как TLS-сертификат связывает имя сервиса с ключом, как клиент проверяет цепочку доверия и когда нужен публичный, внутренний или самоподписанный сертификат.
Как выбрать антивирус, EDR, контроль целостности и пакетную проверку для Windows Server и Linux, а также корректно разбирать их результаты.
Как спроектировать политику firewall по принципу default deny: разрешить нужные потоки, учесть состояния соединений, IPv6, исходящий трафик и доступ администраторов.
Как определить минимальные требования безопасност и сервера, расставить приоритеты и поддерживать baseline после запуска.
Как изолировать BMC, обновить firmware, ограничить доступ, настроить учётные записи, TLS и аудит без потери аварийного управления.
Как собрать события Linux, Windows и серверных сервисов в единый контур, настроить корреляцию, полезные оповещения и контроль доставки.
Как учитывать, хранить и выдавать секреты серверным приложениям, выполнять их ротацию и отзывать доступ при утечке.
Как настроить политики паролей и блокировки локальных и доменных учётных записей Windows Server, проверить результат и выбрать MFA-схему для административного доступа.
Как проверить AppArmor в Ubuntu и Debian, создать профиль для серверного приложения, перевести его из complain в enforce и разобрать denied-события.
Практический цикл patch management для Windows Server: инвентаризация, проверка поддержки ОС, тестирование, развёртывание, перезагрузка и контроль результата.
Как отключить TLS 1.0 и 1.1, настроить TLS 1.2/1.3 и проверить публичный endpoint с учётом SNI, клиентов и плана отката.
Какие события Security и PowerShell собирать на Windows Server, как включить нужные подкатегории аудита и проверить фактическую политику через auditpol.
Порядок действий при подозрении на взлом Linux- или Windows-сервера: сдерживание, сохранение следов, отзыв секретов и восстановление.
Настройте RDP с NLA и TLS, ограничьте источники и пользователей, отключите лишние перенаправления и контролируйте события входа.
Как безопасно применить нативный ruleset nftables, открыть нужные IPv4- и IPv6-порты, использовать sets, лимиты и сохранить правила.
Как безопасно включить UFW или firewalld, сохранить SSH-доступ, открыть сервис только доверенным адресам и проверить постоянные правила.
Как включить jail Fail2ban для SSH и веб-приложения, выбрать источник журналов, проверить бан, разблокировать IP и настроить ignoreip.
Как настроить auditd и штатные журналы Linux для контроля входов, изменений файлов и привилегированных действий, а затем искать события.
Как проверить, установить и автоматизировать обновления безопасности на Ubuntu, Debian и RHEL-совместимых серверах, не потеряв контроль над перезагрузкой.
Как включить Microsoft Defender Firewall, создать узкие правила для портов, программ и IP-адресов, проверить результат и найти причину блокировки.
Как безопасно изменить правила iptables: сохранить текущую конфигурацию, не потерять SSH, ограничить доступ к порту и настроить восстановление после перезагрузки.
Как выпустить сертификат Let’s Encrypt через Certbot, подключить его к Nginx или Apache и проверить продление без ложной уверенности.
Как разделить привилегии в Linux, безопасно настроить sudo, PAM-политику паролей, сроки действия и блокировку учётных записей.
Как проверить режим SELinux, разобрать AVC-отказ и исправить контекст, Boolean или метку порта без отключения защиты.
Как организовать цикл проверки уязвимостей Linux и Windows: от инвентаризации и сканирования до валидации, исправления и учёта исключений.
Последовательность hardening Windows Server: выбор baseline, GPO, защита учётных записей, SMB, NTLM, RDP и контроль изменений без потери управления.
Последовательный security baseline для нового Linux-сервера: инвентаризация, аварийный доступ, обновления, доступ, firewall, MAC, sysctl и аудит.
Как перейти на SSH-ключи без потери доступа: проверить отдельную учётную запись, отключить пароли и root-вход, ограничить пользователей и forwarding.
Как диагностировать ошибки проверки TLS-сертификата по данным реального endpoint: сроку действия, SAN, цепочке, trust store, отзыву и ключу.
Как определить этап отказа SSH, безопасно проверить ключ хоста, publickey, политики доступа и журналы sshd.
Ответы раскрываются в статьях, к которым относится вопрос.
Уязвимость CVE-2026-76519 в Cisco Secure Email Gateway позволяет отправленным письмом выполнить команды с правами root. Cisco сообщила об активной эксплуатации до выпуска исправления.
Проекты Nix и Lix устранили несколько уязвимостей, позволяющих локально повысить привилегии до root на системах с работающими демонами Nix или Lix. Риску подвержены системы, собирающие недоверенные derivations.
IBM и Red Hat сообщили об устранении и бэкпорте более 400 ранее неизвестных уязвимостей в распространённых Java-библиотеках. Также стала общедоступной Lightwell Clearinghouse для приоритетной проверки зависимостей и выпуска исправлений для используемых старых версий.
VMware перешла к ежемесячным обновлениям ПО, в том числе из-за уязвимостей, выявленных с помощью ИИ. Новый инструмент HyperArmor должен блокировать попытки эксплуатации, отклонять действия, изменяющие известные корректные состояния VCF, и защищать доступ к VMware ESX с MFA.
В отдельных обсуждениях для ИИ-агентов рассматривают изолированные среды и отдельные учётные записи. Полный доступ к почте и NAS отклоняют: для почты указаны чувствительные письма, для NAS — исследовательские данные.
