Sicurezza VPS: le basi

La messa in sicurezza di un VPS è un processo continuo che inizia nel momento stesso in cui viene installato il sistema operativo. Configurare correttamente le barriere di accesso e i sistemi di monitoraggio è l'unico modo per ridurre al minimo i rischi di accesso non autorizzato e perdita di dati.

Bloccare gli accessi con un firewall

Un firewall agisce come filtro fondamentale tra la rete globale e il tuo server. Ispeziona il traffico in entrata e in uscita sulla base di un insieme predefinito di regole, consentendo il passaggio dei dati solo attraverso le porte autorizzate.

Di norma, un server necessita soltanto di pochi porte aperte (ad es. 80 e 443 per il traffico web). Tutte le altre porte inutilizzate devono essere rigorosamente chiuse per ridurre la superficie d'attacco.

Strumenti più diffusi:

• UFW (Uncomplicated Firewall) — un'interfaccia intuitiva per gestire le regole senza dover ricorrere a una sintassi complessa. Configurazione di base per Ubuntu/Debian:

  sudo apt update
  sudo apt install ufw
  sudo ufw allow OpenSSH     # O la tua porta SSH personalizzata
  sudo ufw allow 80/tcp      # HTTP
  sudo ufw allow 443/tcp     # HTTPS
  sudo ufw enable
  sudo ufw status
  

• IPTables — uno storico strumento Linux per la gestione del componente kernel NetFilter. Offre un'enorme flessibilità ed è stato ampiamente testato nel tempo. Per il traffico IPv6, si utilizza la versione ip6tables. Esempio:

  sudo iptables -P INPUT DROP
  sudo iptables -P FORWARD DROP
  sudo iptables -P OUTPUT ACCEPT
  sudo iptables -A INPUT -i lo -j ACCEPT
  sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
  sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT    # SSH
  sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
  sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
  sudo iptables-save > /etc/iptables.rules
  

Proteggere l'accesso remoto con SSH

Il protocollo SSH (Secure Shell) è lo standard di settore per l'amministrazione remota dei server Linux. Fornisce crittografia end-to-end per comandi, trasferimenti di file e persino il tunneling dell'interfaccia grafica.

Password vs chiavi SSH

Affidarsi a password tradizionali espone il server agli attacchi di «forza bruta», in cui i bot provano automaticamente milioni di combinazioni di caratteri.

L'autenticazione tramite chiave SSH è un metodo decisamente più robusto:

1. Chiave pubblica — memorizzata sul server per identificarti.
2. Chiave privata — conservata in modo sicuro sulla tua macchina locale e protetta da una passphrase.

Grazie alla loro complessità crittografica, queste chiavi sono praticamente impossibili da violare con metodi tradizionali.

Contrastare le attività malevole con Fail2ban

Fail2ban è un servizio automatizzato che analizza i log di sistema (come i tentativi di accesso SSH) alla ricerca di pattern sospetti. Se un indirizzo IP fallisce l'autenticazione più volte, Fail2ban aggiorna dinamicamente il firewall per «bloccare» quell'indirizzo, vietandone il traffico in modo temporaneo o permanente.

Implementare sistemi di rilevamento delle intrusioni (IDS)

Un IDS funziona come un allarme silenzioso: ti notifica se le tue difese primarie vengono violate. Questi sistemi catalogano lo stato «pulito» di file e configurazioni, avvisandoti in caso di modifiche non autorizzate.

Monitoraggio dell'integrità dei file:

• Tripwire — uno dei sistemi più affidabili disponibili. Crea un database dei file di sistema e lo firma con chiavi crittografiche per rilevare qualsiasi manomissione.
• Aide — un'alternativa leggera ed efficace a Tripwire, che verifica l'integrità tramite il confronto degli attributi dei file.

Monitoraggio di rete e delle minacce:

• Psad — analizza i log del firewall per rilevare scansioni di porte e altre attività di rete «rumorose».
• Bro (Zeek) — un potente motore di analisi di rete che registra metadati dettagliati per identificare pattern di traffico anomali.
• RKHunter (Rootkit Hunter) — uno strumento specializzato progettato per individuare rootkit, backdoor e comuni exploit locali.

Buone pratiche di sicurezza generali

• Aggiorna regolarmente: esegui sudo apt update && sudo apt upgrade -y per correggere le vulnerabilità.
• Riduci il software al minimo: installa solo i pacchetti indispensabili per le tue attività specifiche.
• Imponi la complessità: utilizza sempre password o chiavi ad alta entropia.
• Controlla i servizi: disabilita tutti i servizi in background che non sono in uso.
• Attiva la MFA: abilita sempre l'autenticazione a più fattori nel pannello di controllo del tuo provider di hosting.
• Mantieni i backup: assicurati di avere backup regolari e in posizione remota, non archiviati esclusivamente sul server stesso.