Ochrona serwera VPS i konta: to, co niezbędne

Większość przejętych serwerów VPS nie pada ofiarą wyrafinowanego ataku, lecz słabego hasła, niepotrzebnie otwartego portu albo skryptu pobranego z niewłaściwego miejsca. Oto, co naprawdę się liczy.

Twoje konto w panelu

• Włącz uwierzytelnianie dwuskładnikowe. W sekcji Konto → Bezpieczeństwo kliknij Włącz uwierzytelnianie dwuskładnikowe, zeskanuj kod QR aplikacją taką jak Google Authenticator lub Authy i wpisz wygenerowany kod. Dzięki temu nawet jeśli ktoś zdobędzie Twoje hasło, nie zaloguje się.
• Sprawdź otwarte sesje na tej samej stronie i zamknij te, których nie rozpoznajesz.
• Zaglądaj do swojego rejestru aktywności co jakiś czas.
• Nie podawaj nikomu swojego hasła. Jeśli ktoś inny ma zarządzać Twoim serwerem VPS, udostępnij go z poziomu panelu.

Serwer

• Długie i unikalne hasło, którego nie używasz nigdzie indziej. W Linuksie jeszcze lepiej: loguj się kluczem SSH i dodaj fail2ban.
• W Windows zabezpiecz Pulpit zdalny i pozwól instalować się aktualizacjom.
• W Linuksie regularnie aktualizuj system poleceniem apt update && apt upgrade.
• Otwieraj tylko porty, których używasz. Nigdy nie wystawiaj na internet baz danych (3306), paneli administracyjnych takich jak txAdmin (40120), konsol telnet ani paneli WWW gier.
• Nie uruchamiaj wszystkiego jako administrator. W naszych poradnikach serwery gier działają na osobnym użytkowniku: jeśli plugin ma lukę, szkody nie wychodzą poza to konto.
• Pobieraj skrypty, mody i pluginy tylko z zaufanych źródeł. „Leaki” płatnych zasobów, zwłaszcza w FiveM, często zawierają tylne furtki (backdoory), które oddają kontrolę nad Twoim serwerem komuś innemu.
• Rób kopie zapasowe, w tym co najmniej jedną poza serwerem VPS.

Jeśli podejrzewasz włamanie

1. Zmień hasło do konta, włącz uwierzytelnianie dwuskładnikowe i zamknij sesje, które nie należą do Ciebie.
2. Zmień hasło serwera w panelu.
3. Sprawdź, czy nie ma użytkowników utworzonych bez Twojej wiedzy: w Windows poleceniem net user; w Linuksie w pliku /etc/passwd i w plikach ~/.ssh/authorized_keys.
4. Jeśli nie masz pewności, że wszystko zostało wyczyszczone, najbezpieczniej jest zachować swoje dane i zainstalować system ponownie. Dokładnie sprawdź te dane, zanim prześlesz je z powrotem: jeśli problem pochodził ze skryptu, wróci razem z nim.
5. Otwórz zgłoszenie, jeśli potrzebujesz pomocy.