Безопасность сервера: как защитить от взлома

Сервер в интернете атакуют постоянно. Боты сканируют порты, подбирают пароли, ищут уязвимости. По статистике, сервер без защиты взламывают за 15–30 минут после запуска. Последствия серьёзные: утечка данных, потеря трафика, попадание в спам-базы, штрафы за нарушение 152-ФЗ.

Хорошая новость: большинство атак можно предотвратить базовой настройкой безопасности. Файрвол, Fail2ban, SSH-ключи, обновления — это не «сложно», а «обязательно». В этой статье — пошаговое руководство по защите сервера. Если нужно администрирование сервера с настройкой безопасности — поможем.

Основные угрозы

Понимание угроз помогает построить правильную защиту.

Брутфорс

Автоматический подбор паролей к SSH, панели управления, CMS. Тысячи попыток в час.

Уязвимости

Дыры в ОС, панели управления, CMS, плагинах. Используются для получения доступа.

DDoS-атаки

Массовые запросы, которые перегружают сервер и делают его недоступным.

SQL-инъекции

Внедрение вредоносного SQL-кода через формы сайта. Кража данных.

Спам через формы

Автоматическая отправка спама через формы обратной связи. Репутация домена падает.

Вредоносный код

Загрузка вредоносных скриптов через уязвимости. Использование сервера для ботнета.

Защита SSH

SSH — главный вход на сервер. Если его не защитить — считайте, что сервер открыт.

1. SSH-ключи вместо паролей

Пароли можно подобрать. SSH-ключ — нет. Настройте аутентификацию по ключам и отключите вход по паролю:

Сгенерируйте пару ключей: ssh-keygen -t ed25519 -C "your@email.com";
Скопируйте публичный ключ на сервер: ssh-copy-id user@server;
В /etc/ssh/sshd_config установите PasswordAuthentication no;
Перезапустите SSH: systemctl restart sshd.

2. Смените стандартный порт

По умолчанию SSH слушает порт 22. Боты сканируют его постоянно. Смените порт на нестандартный:

В /etc/ssh/sshd_config установите Port 2222 (любой нестандартный);
Откройте новый порт в файрволе;
Перезапустите SSH.

3. Отключите root-логин

Прямой вход под root — плохая практика. Работайте под обычным пользователем с sudo:

Создайте пользователя: adduser newuser;
Дайте права sudo: usermod -aG sudo newuser;
В /etc/ssh/sshd_config установите PermitRootLogin no.

4. Ограничьте доступ по IP

Если работаете с фиксированных IP — разрешите SSH только с них. В /etc/hosts.allow или файрволе.

Файрвол

Файрвол блокирует весь трафик, кроме разрешённого. Это базовая защита.

ufw (Ubuntu, Debian)

Простой файрвол для начинающих:

ufw allow ssh — разрешить SSH;
ufw allow 80 — разрешить HTTP;
ufw allow 443 — разрешить HTTPS;
ufw enable — включить файрвол.

iptables (все дистрибутивы)

Более гибкий, но сложный. Основные правила:

Разрешить уже установленные соединения;
Разрешить SSH, HTTP, HTTPS;
Заблокировать всё остальное;
Логировать заблокированный трафик.

💡 Важно

Перед включением файрвола убедитесь, что SSH разрешён. Иначе потеряете доступ к серверу.

Fail2ban

Fail2ban анализирует логи и блокирует IP-адреса, с которых идут атаки. Это защита от брутфорса и спама.

Что делает Fail2ban

Следит за логами SSH, веб-сервера, почты;
Находит попытки подбора паролей;
Блокирует IP после N неудачных попыток;
Автоматически разблокирует через время.

Настройка

Установите: apt install fail2ban;
Скопируйте конфиг: cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local;
В jail.local настройте: bantime (время блокировки), findtime (окно), maxretry (попыток);
Включите нужные jail: sshd, nginx-http-auth, postfix-sasl;
Перезапустите: systemctl restart fail2ban.

Обновления

Большинство атак используют известные уязвимости. Если обновления установлены — атака не сработает.

Что обновлять

ОС: ядро, системные пакеты. Обновления безопасности — обязательно;
Панель управления: ISPmanager, cPanel, Plesk. Обновляйте регулярно;
CMS: WordPress, 1C-Битрикс, Joomla. Обновления безопасности;
Плагины и темы: частая причина уязвимостей. Обновляйте или удаляйте неиспользуемые;
Веб-сервер: Nginx, Apache. Обновления безопасности;
БД: MySQL 8.0+, PostgreSQL 16+, MariaDB 10.11+. Обновления производительности и безопасности;
PHP, Python, Node.js: версии языка. Устаревшие версии — риск.

Как обновлять безопасно

Сначала — тестовое окружение;
Сделайте бэкап перед обновлением;
Обновляйте по одному компоненту;
Проверяйте работу после каждого обновления;
Автоматизируйте: unattended-upgrades для ОС.

SSL и HTTPS

HTTPS — это не только «зелёный замок» в браузере. Это шифрование трафика, защита от перехвата, доверие пользователей.

Let's Encrypt: бесплатный SSL. Автоматическое продление через certbot;
Коммерческие сертификаты: для банков, платёжных систем, крупных проектов;
HSTS: заголовок, который заставляет браузер использовать только HTTPS;
Редирект HTTP → HTTPS: весь трафик должен идти по HTTPS;
Проверка: используйте SSL Labs для оценки сертификата.

Права на файлы

Неправильные права на файлы — одна из главных причин взломов. Злоумышленник может загрузить вредоносный скрипт или изменить существующие файлы.

Файлы: 644 (rw-r--r--) для обычных файлов;
Папки: 755 (rwxr-xr-x) для директорий;
Конфигурации: 600 (rw-------) для файлов с паролями;
Загруженные файлы: 644, никогда 777;
Владелец: файлы сайта должны принадлежать пользователю сайта, а не root.

Команды для проверки:

find /var/www -type f -perm 0777 — найти опасные права;
chmod -R 644 /var/www/site — установить правильные права;
chown -R user:group /var/www/site — сменить владельца.

Мониторинг

Даже лучшая защита может быть обойдена. Мониторинг помогает вовремя заметить проблему.

Логи SSH: неудачные попытки входа. Fail2ban ведёт статистику;
Логи веб-сервера: подозрительные запросы. SQL-инъекции, попытки доступа к админке;
Логи CMS: неудачные входы, изменения файлов;
Мониторинг файлов: AIDE, Tripwire. Проверяют изменения в критичных файлах;
Мониторинг нагрузки: аномальная нагрузка может говорить о взломе;
Оповещения: настройте, чтобы узнавать о подозрительной активности сразу.

Чек-лист безопасности сервера

SSH

SSH-ключи вместо паролей
Нестандартный порт
Root-логин отключён
Ограничение по IP

Файрвол и Fail2ban

Файрвол настроен
Открыты только нужные порты
Fail2ban установлен
Настроены jail для SSH, веба

Обновления

ОС обновлена
Панель управления обновлена
CMS и плагины обновлены
Устаревшие компоненты удалены

Доступ и файлы

Сложные пароли
Двухфакторная аутентификация
Правильные права на файлы
SSL и HTTPS настроены

Наши рекомендации

🎯

1. Начните с SSH

Ключи и смена порта. Поможем настроить.

📊

2. Установите Fail2ban

Автоматическая защита от брутфорса. О мониторинге.

🚀

3. Закажите администрирование

Безопасность под ключ. Закажите услугу в Lead Hub.

📌 Что вы получаете, заказывая безопасность у нас

SSH-ключи — безопасный доступ без паролей
Файрвол — открыты только нужные порты
Fail2ban — защита от брутфорса
SSL и HTTPS — шифрование трафика
Обновления — регулярные, безопасные
Мониторинг — оповещения о подозрительной активности

📌 Итоговый вывод

Безопасность сервера — это не опция, а необходимость.

Что нужно знать:

Угрозы — брутфорс, уязвимости, DDoS, SQL-инъекции, спам, вредоносный код
SSH — ключи вместо паролей, нестандартный порт, отключён root
Файрвол — ufw или iptables. Открыты только нужные порты
Fail2ban — автоматическая блокировка атакующих IP
Обновления — регулярные, безопасные, с тестированием
SSL — только HTTPS, HSTS, редирект
Права на файлы — 644 для файлов, 755 для папок
Мониторинг — логи, оповещения, аудит

Сервер уже взломали? Или пока только стучатся?

Брутфорс и сканеры уязвимостей работают круглосуточно. Настроим файрвол, Fail2ban, auditd, SSH-ключи, 2FA, SELinux. Закроем уязвимости, обеспечим соответствие 152-ФЗ. Проверим взломанные двери до того, как их найдёт злоумышленник.

Имя *

Телефон *

Что интересует

Сколько серверов защитить? *

Были инциденты? *

Да, взлом

Да, попытки

Нет, профилактика

Не знаю

Есть требования?

Комментарий

Нажимая кнопку, вы соглашаетесь на обработку персональных данных в соответствии с политикой конфиденциальности.

Почему заказывают администрирование у нас

8 причин доверить серверы нашей команде

Безопасность

Настраиваем файрвол, обновляем ПО, следим за уязвимостями. Защищаем от взломов и атак.

Оптимизация

Настраиваем сервер под ваш проект: кеширование, сжатие, базы данных. Ускоряем работу.

Быстрая реакция

Среднее время реакции на сбой — 15 минут. Круглосуточный мониторинг.

Обновления

Регулярно обновляем ОС, панели управления, CMS, плагины. Безопасность и актуальность.

Резервное копирование

Настраиваем автоматические бэкапы. Восстановление за 1–2 часа при необходимости.

Мониторинг

Отслеживаем нагрузку, доступность, ошибки. Узнаём о проблемах раньше вас.

Отчётность

Ежемесячные отчёты: что сделано, какие проблемы, что улучшено. Прозрачность.

Опыт с разными стеками

Linux, Windows, Nginx, Apache, MySQL, PostgreSQL, Docker, Kubernetes. Работаем с любыми проектами.

Что входит в администрирование

12+ услуг — от первичной настройки до аварийного восстановления

Первичная настройка

Установка и настройка ОС, панели управления, ПО.

Ubuntu, CentOS, Debian
ISPmanager, cPanel
Nginx, Apache

Подробнее →

Обновление ПО

Регулярное обновление ОС, CMS, плагинов.

Ядро Linux
CMS и плагины
Панели управления

Подробнее →

Оптимизация производительности

Настройка под высокую нагрузку.

Кеширование
Сжатие
Базы данных

Подробнее →

Настройка безопасности

Файрвол, защита от атак, аудит.

iptables, ufw
Fail2ban
SSL, HTTPS

Подробнее →

Резервное копирование

Настройка автоматических бэкапов.

Ежедневно
Внешнее хранилище
Тестирование

Подробнее →

Мониторинг

Настройка систем мониторинга.

Zabbix, Prometheus
Grafana
Оповещения

Подробнее →

Работа с базами данных

Настройка, оптимизация, репликация БД.

MySQL, PostgreSQL
Репликация
Бэкапы

Подробнее →

Настройка веб-серверов

Конфигурация Nginx, Apache, PHP-FPM.

Виртуальные хосты
SSL
Кеширование

Подробнее →

Работа с Docker

Установка и управление контейнерами.

Docker
Docker Compose
Реестры

Подробнее →

Деплой приложений

Настройка CI/CD, автоматизация развёртывания.

GitLab CI, GitHub Actions
Jenkins
Автодеплой

Подробнее →

Поддержка 24/7

Круглосуточная поддержка серверов.

Телефон, чат, email
Реакция 15 мин
Аварийное восстановление

Подробнее →

Отчётность

Ежемесячные отчёты о работе сервера.

Что сделано
Проблемы
Рекомендации

Подробнее →

Как мы работаем

Прозрачный процесс от аудита до поддержки

Аудит сервера

Проверяем текущее состояние: конфигурацию, безопасность, производительность. Выявляем проблемы.

План работ

Составляем план: что исправить, что оптимизировать, что обновить. Согласовываем с вами.

Настройка

Настраиваем сервер: безопасность, оптимизация, бэкапы, мониторинг. Всё по плану.

Мониторинг

Подключаем системы мониторинга. Отслеживаем нагрузку, доступность, ошибки.

Поддержка 24/7

Круглосуточно следим за сервером. Реагируем на сбои за 15 минут.

Обновления

Регулярно обновляем ОС, ПО, CMS. Защищаем от уязвимостей.

Отчётность

Ежемесячные отчёты: что сделано, какие проблемы, что улучшено.

Развитие

Помогаем с масштабированием, миграцией, оптимизацией при росте проекта.

Стоимость администрирования

Цены соответствуют российскому рынку на 2026 год

Базовый

от 3 000 ₽

Для небольших серверов

Мониторинг 24/7
Реакция 15 мин
Базовые обновления
Бэкапы
1 сервер
Поддержка в рабочее время

Заказать

ХИТ

Расширенный

от 6 000 ₽

Для нагруженных проектов

Мониторинг 24/7
Реакция 15 мин
Полные обновления
Бэкапы
Оптимизация
Безопасность
Поддержка 24/7
До 3 серверов

Заказать

Enterprise

от 15 000 ₽

Для сложных инфраструктур

Всё из «Расширенного»
Кластеризация
Высоконагруженные проекты
DevOps-задачи
Выделенный администратор
Неограниченно серверов

Заказать

* Цены ориентировочные. Точный расчёт после аудита инфраструктуры. Стоимость зависит от количества серверов и сложности задач.

Наши проекты

Примеры администрирования серверов

Интернет-магазин

Оптимизация сервера для интернет-магазина на 10 000+ товаров. Время отклика снизилось в 3 раза.

E-commerce Оптимизация

Корпоративный портал

Настройка безопасности для портала крупной компании. Устранено 30+ уязвимостей.

Корпоративный Безопасность

CRM-система

Настройка кластера для CRM с 500+ пользователями. Обеспечена отказоустойчивость.

CRM Кластер

Высоконагруженный проект

Настройка балансировки и кеширования. Сервер выдерживает 100 000+ посетителей в день.

HighLoad Масштабирование

Миграция базы данных

Перенос базы данных 500 ГБ без простоя. Настроена репликация.

БД Миграция

Защита от атак

Настроена защита от DDoS и брутфорса. Отбито 100+ атак за месяц.

Безопасность DDoS

Смотреть все проекты

Часто задаваемые вопросы об администрировании

25+ развёрнутых ответов на популярные вопросы

Администрирование — это полный цикл работ по поддержанию сервера в рабочем состоянии:

Первичная настройка — установка ОС, панели управления, базового ПО
Обновления — ядро Linux, панели, CMS, плагины
Оптимизация производительности — тюнинг веб-сервера, БД, кеша
Настройка безопасности — файрвол, защита от брутфорса, SSL
Резервное копирование — автоматические бэкапы данных и конфигураций
Мониторинг — отслеживание нагрузки, ошибок, доступности
Поддержка 24/7 — оперативное решение проблем
Ежемесячная отчётность — состояние сервера, выполненные работы

Всё, что нужно для стабильной работы сервера — в одном пакете.

Стоимость зависит от сложности сервера и объёма работ. На российском рынке сформировались три уровня:

Базовый тариф — небольшие серверы с минимальной нагрузкой
Расширенный — нагруженные проекты с базами данных, кешем, интеграциями
Enterprise — сложные инфраструктуры с кластерами, балансировкой, геораспределением

Точный расчёт — после аудита. На стоимость влияют: количество серверов, тип ПО, срочность задач, наличие SLA.

Мы следим за сервером круглосуточно. Если что-то случится — узнаем раньше вас, ещё до того, как клиенты заметят проблему.

Что происходит при сбое:

Мгновенное оповещение — система мониторинга фиксирует проблему
Быстрая реакция — инженер приступает к диагностике
Автоматический перезапуск — для сервисов, упавших из-за ошибки
Восстановление из бэкапа — если данные повреждены

Среднее время реакции на сбой — минимальное. Восстановление из бэкапа — от часа до двух в зависимости от объёма.

По умолчанию — ежедневно. Что это значит:

Полное копирование всех данных, баз, конфигураций
Хранение на внешнем хранилище 30 дней
Возможность восстановления на любую дату

Можно настроить чаще — по запросу. Для критичных проектов используем инкрементальные бэкапы: каждые несколько часов копируются только изменения. Это ускоряет восстановление и снижает нагрузку.

Да. Регулярно обновляем:

Ядро Linux — критические патчи безопасности
Панели управления — ISPmanager, cPanel, Plesk
CMS — WordPress, 1C-Битрикс, OpenCart
Плагины и библиотеки — все зависимости

Перед обновлением на боевом сервере проводим тестирование на тестовом окружении. Убеждаемся, что всё работает — потом обновляем production. Это исключает сюрпризы.

Работаем с любыми популярными дистрибутивами:

Ubuntu — для большинства проектов
CentOS / AlmaLinux / Rocky Linux — корпоративный стандарт
Debian — стабильный выбор для продакшена
Windows Server — для 1С, ASP.NET, MS SQL

Подбираем ОС под задачи проекта и помогаем с настройкой и оптимизацией.

Мы работаем с самыми популярными панелями:

ISPmanager — популярная российская панель
cPanel — международный стандарт
Plesk — мощная панель для разработчиков
DirectAdmin — легковесная альтернатива
VestaCP, HestiaCP — бесплатные решения

Также работаем с серверами без панели управления — только через командную строку и конфигурационные файлы.

Да, безопасность — обязательная часть администрирования. Что настраиваем:

Файрвол — iptables или ufw, запрет всего лишнего
Защита от брутфорса — Fail2ban, блокировка после N попыток
SSL/HTTPS — Let's Encrypt с автопродлением
Мониторинг уязвимостей — регулярные проверки
Аудит безопасности — анализ конфигураций и прав доступа

Безопасность — это процесс, а не разовая настройка. Регулярно проверяем и обновляем защиту.

Да, мы работаем с Docker и контейнеризацией:

Установка и настройка Docker и Docker Compose
Управление контейнерами — запуск, мониторинг, обновления
Настройка реестров — приватные и публичные
Изоляция — отдельные сети, ограничение ресурсов
Интеграция с CI/CD — автоматический деплой

Для сложных проектов разворачиваем Kubernetes с автомасштабированием и мониторингом.

Да, миграция — одна из наших услуг. Переносим:

Сайты — файлы, базы, конфигурации
Приложения — с учётом зависимостей
Базы данных — MySQL, PostgreSQL, MongoDB
Почту — ящики, письма, настройки

Работаем без простоя: сначала настраиваем новый сервер, тестируем, потом переключаем трафик. Пользователи не замечают переезда.

Мониторинг — это система, которая непрерывно отслеживает состояние сервера:

Нагрузку — CPU, RAM, диск, сеть
Доступность — работает ли сервис
Ошибки — логи, статусы, исключения
Аномалии — резкие скачки, подозрительная активность

Подключаем Zabbix, Prometheus, Grafana. При отклонениях от нормы приходят оповещения. Мы узнаём о проблемах до того, как их заметят пользователи.

У нас круглосуточная поддержка. Среднее время реакции — минимальное. При критичных сбоях — мгновенно.

Процесс реагирования:

Обнаружение — мониторинг фиксирует проблему
Диагностика — определяем причину
Исправление — восстанавливаем работоспособность
Анализ — что улучшить, чтобы не повторилось

Восстановление из бэкапа — от часа до двух в зависимости от объёма.

От одного до неограниченного количества. Всё зависит от вашей инфраструктуры:

Малые проекты — 1 сервер
Средний бизнес — 5–20 серверов
Крупные инфраструктуры — кластеры, десятки и сотни серверов

Для больших проектов назначаем персонального менеджера и команду инженеров. Не бывает «слишком много серверов» — бывает неправильная организация.

Оптимизация — это настройка сервера под конкретный проект для максимальной производительности. Что делаем:

Кеширование — Redis, Memcached, Varnish
Сжатие — gzip, brotli для статики
Оптимизация БД — индексы, запросы, конфигурация
Тюнинг веб-сервера — Nginx, Apache, PHP-FPM
CDN — для геораспределённой отдачи статики

Цель — чтобы сайт работал быстро и выдерживал пиковые нагрузки.

Основные метрики, которые мы отслеживаем:

Аптайм — процент времени, когда сервер доступен
Время отклика — скорость ответа на запросы
Количество сбоев — как часто и почему
Скорость работы — по сравнению с периодом до администрирования

Все эти показатели видите вы и мы — в отчётах и на дашбордах. Если что-то не так — исправляем до того, как вы это заметите.

Мы поможем с выбором и настройкой. Варианты:

VPS/VDS — виртуальный сервер с выделенными ресурсами
Выделенный сервер — физическая машина только для вас
Облако — масштабируемая инфраструктура (Yandex Cloud, VK Cloud)

Проконсультируем по выбору, подберём конфигурацию под ваш проект, поможем с заказом и настройкой. Или предложим свой хостинг.

Нет, это разные услуги. Мы администрируем сервер: следим за работоспособностью, обновляем, оптимизируем, защищаем.

Разработка приложений — отдельная задача. Но если нужно помочь с деплоем, настройкой CI/CD или окружения для разработки — это часть администрирования, и мы это делаем.

DevOps — подход, объединяющий разработку (Dev) и эксплуатацию (Ops). Цель — автоматизировать всё, что можно: сборку, тестирование, деплой, мониторинг.

Что включает DevOps:

CI/CD — автоматический деплой при изменениях в коде
Инфраструктура как код — Terraform, Ansible
Мониторинг и логирование — Prometheus, ELK, Grafana
Контейнеризация — Docker, Kubernetes

DevOps-услуги предоставляем в рамках Enterprise-тарифа или как отдельную услугу.

Мы не запрашиваем полные доступы к серверу. Работаем так:

Создаём отдельные учётные записи для наших инженеров
Используем SSH-ключи вместо паролей
Все действия логируются
При необходимости — доступ по VPN
Для чувствительных систем — разграничение прав по ролям

Ваша безопасность и конфиденциальность — приоритет. После завершения работ доступы отзываются.

Такое бывает редко, но мы готовы к правкам. На каждом этапе есть возможность внести изменения.

Если результат не соответствует техническому заданию — переделываем за наш счёт. Наша цель — не «сдать работы», а сделать так, чтобы сервер стабильно работал и вы были довольны.

Все договорённости фиксируются в договоре — никаких споров о том, что входило в работы, а что нет.

Да, аудит — обязательный этап перед началом работ. Что проверяем:

Конфигурацию — ОС, ПО, ресурсы
Безопасность — уязвимости, настройки, права доступа
Производительность — узкие места, нагрузка
Бэкапы — есть ли, как часто, где хранятся
Мониторинг — что отслеживается, куда идут оповещения

Результат — подробный отчёт с рекомендациями. Вы видите, что нужно исправить и сколько это будет стоить.

Да, работаем удалённо со всей Россией и странами СНГ. Все коммуникации — онлайн:

Telegram — оперативная связь
Email — для документов и отчётов
Zoom — для презентаций и обсуждений
Тикеты — для задач в работе

Процесс не отличается от работы в одном городе. Клиенты из Москвы, Санкт-Петербурга, Новосибирска, Екатеринбурга и других городов работают с нами годами, не встречаясь офлайн.

Процесс старта:

Консультация — в день обращения
Аудит — в течение нескольких дней
Коммерческое предложение — после аудита
Старт работ — в течение нескольких дней после подписания договора

В срочных случаях можем начать быстрее — сообщите заранее.

Это проекты с большим трафиком и сложной инфраструктурой:

Высокий трафик — десятки и сотни тысяч посетителей в день
Много одновременных пользователей — тысячи активных сессий
Сложные вычисления — аналитика, ML, real-time
Большие объёмы данных — терабайты и петабайты

Для таких проектов нужна особая архитектура: балансировка, кеширование, кластеризация, шардирование. Умеем проектировать и поддерживать такие системы.

Да, мы консультируем по выбору хостинга, конфигурации и оптимальных решений. Что учитываем:

Нагрузку — сколько трафика, сколько одновременных пользователей
Тип проекта — сайт, приложение, база данных, ML
Требования — по безопасности, локации, SLA
Бюджет — чтобы не переплачивать

Поможем выбрать и настроить. Также можем предложить наши тарифы или партнёрские решения.

Мы поддерживаем полный современный стек:

Языки — PHP, Python, Node.js, Ruby, Go
Базы данных — MySQL, PostgreSQL, MongoDB, Redis
Веб-серверы — Nginx, Apache
Контейнеры — Docker, Kubernetes
CI/CD — GitLab CI, GitHub Actions, Jenkins

Если технологии не в списке — обсудим отдельно. Скорее всего, у нас есть опыт.