Аудит безопасности сервера
Аудит безопасности — это регулярная проверка инфраструктуры на уязвимости и ошибки конфигурации. Без аудита вы не знаете, что происходит с вашими серверами: закрыты ли порты, обновлены ли пакеты, кто имеет доступ, есть ли подозрительная активность. Аудит даёт ответы на эти вопросы и конкретный план действий.
Хорошая новость: аудит — это не «магия». Существует проверенный набор действий, инструментов и метрик. Даже базовая проверка по чек-листу выявляет 90% проблем. В этой статье — разбор того, как проводить аудит безопасности сервера: что проверять, какие инструменты использовать, как часто. Если нужно провести аудит безопасности — поможем.
Зачем нужен аудит
Аудит безопасности нужен по нескольким причинам.
Найти уязвимости
Скрытые ошибки в конфигурации, устаревшие пакеты, открытые порты. Всё то, что можно использовать для взлома.
Соответствие требованиям
152-ФЗ, PCI DSS, ФСТЭК, ISO 27001 — все они требуют регулярных аудитов.
Понимать состояние
Что настроено, что нет, что изменилось с прошлого аудита. Без этого — управление вслепую.
Документировать
Отчёт аудита — доказательство заботы о безопасности. Для клиентов, партнёров, регуляторов.
Что проверять
Аудит безопасности охватывает несколько уровней инфраструктуры.
| Уровень | Что проверять |
|---|---|
| Сеть | Открытые порты, файрвол, сегментация, DDoS-защита |
| ОС | Обновления, пользователи, права, службы, SSH |
| Веб-сервер | Конфигурация, SSL, заголовки, версии ПО |
| Приложение | Уязвимости, зависимости, аутентификация |
| БД | Доступ, шифрование, бэкапы, права |
| Файлы | Права доступа,敏感ные файлы, целостность |
| Логи | Что логируется, куда, кто имеет доступ |
| Пользователи | Активные, права, 2FA, пароли |
Ключевые области
- Аутентификация: SSH-ключи, 2FA, парольная политика;
- Авторизация: права пользователей, sudo, роли;
- Обновления: ОС, пакеты, приложения;
- Шифрование: TLS, шифрование на диске;
- Логирование: что логируется, где хранится;
- Резервное копирование: регулярность, хранение, тестирование.
Инструменты
Для аудита используется несколько категорий инструментов.
| Категория | Инструменты |
|---|---|
| Сканеры уязвимостей | Nmap, OpenVAS, Nessus, Qualys |
| Аудит конфигураций | Lynis, CIS-CAT, OpenSCAP |
| Анализ веб | Nikto, OWASP ZAP, Burp Suite |
| Проверка SSL | testssl.sh, SSL Labs, sslyze |
| Анализ логов | Logwatch, fail2ban, ELK, Graylog |
| Проверка файлов | AIDE, Tripwire, rkhunter, chkrootkit |
| Сетевой анализ | tcpdump, Wireshark, iftop, nethogs |
Для большинства задач достаточно Lynis и Nmap — они бесплатны, легки в использовании и показывают много полезной информации.
Сканирование уязвимостей
Сканирование уязвимостей — это автоматическая проверка сервера на известные проблемы.
Как это работает
- Обнаружение: сканер находит открытые порты и сервисы;
- Идентификация: определяет версии ПО;
- Сравнение: сверяет с базой известных уязвимостей (CVE);
- Отчёт: список найденных уязвимостей с оценкой критичности;
- Приоритизация: сортировка по уровню риска.
Что искать
- Устаревшее ПО: старые версии с известными уязвимостями;
- Открытые порты: лишние сервисы, которые не нужны;
- Слабые конфигурации: SSL, шифры, методы аутентификации;
- Уязвимости в приложениях: SQL-инъекции, XSS, CSRF;
- Дефолтные пароли: забытые учётные записи;
- Утечки информации: доступ к敏感ным файлам.
💡 Важно
Сканирование уязвимостей — только часть аудита. Оно находит известные проблемы, но не заменяет ручной анализ конфигураций и логики приложения.
Аудит конфигураций
Аудит конфигураций проверяет, насколько правильно настроен сервер.
Что проверять
- SSH: ключи вместо паролей, отключён root, сменён порт;
- Файрвол: открыты только нужные порты;
- Пользователи: минимум активных, сложные пароли;
- Sudo: ограниченное использование;
- Службы: отключены ненужные;
- Обновления: установлены свежие;
- Логирование: включено, настроено;
- Резервное копирование: работает, тестируется.
Lynis
Lynis — самый популярный инструмент для аудита конфигураций Linux. Он проверяет сотни параметров и выдаёт отчёт с оценкой и рекомендациями.
- Установка: apt install lynis / yum install lynis;
- Запуск: lynis audit system;
- Отчёт: /var/log/lynis.log;
- Оценка: hardening index — чем выше, тем лучше.
Анализ логов
Логи — это «черный ящик» сервера. Они показывают, что происходило, кто заходил, какие ошибки были.
Что смотреть
- SSH-логи: попытки входа, неудачные попытки, IP-адреса;
- Логи веб-сервера: подозрительные запросы, коды ошибок;
- Логи приложения: ошибки, аномалии;
- Системные логи: изменения, ошибки ядра;
- Логи файрвола: заблокированные соединения.
Что искать
- Попытки брутфорса: много неудачных входов с одного IP;
- Подозрительные запросы: попытки SQL-инъекций, XSS, обхода авторизации;
- Аномалии: входы в нерабочее время, из необычных стран;
- Ошибки: частые ошибки могут говорить о проблемах;
- Изменения файлов: несанкционированные правки.
Инструменты
- Logwatch: ежедневные отчёты по логам на email;
- fail2ban: автоматическая блокировка атакующих IP;
- ELK Stack: централизованный сбор и анализ логов;
- Graylog: альтернатива ELK;
- GoAccess: анализ логов веб-сервера в реальном времени.
Пентест
Пентест (penetration testing) — это имитация атаки на вашу инфраструктуру. Цель — найти слабые места до того, как их найдёт злоумышленник.
Чем отличается от аудита
- Аудит: проверяет соответствие требованиям, находит конфигурационные проблемы;
- Пентест: пытается реально проникнуть в систему, использовать найденные уязвимости;
- Результат пентеста: доказательство, что уязвимость работает, и пути её эксплуатации;
- Дополнение: пентест дополняет аудит, но не заменяет его.
Виды пентеста
- Black box: без предварительной информации о системе;
- White box: с полной информацией — исходники, доступы;
- Gray box: частичная информация;
- Внешний: атака снаружи;
- Внутренний: атака изнутри сети.
💡 Важно
Пентест обязательно должен быть согласован письменно. Без письменного разрешения это уголовно наказуемо, даже если вы тестируете свою же систему.
Как часто проводить
Частота аудита зависит от критичности инфраструктуры и требований регуляторов.
| Тип инфраструктуры | Аудит конфигураций | Пентест |
|---|---|---|
| Небольшой сайт | Раз в год | Раз в 2 года |
| Интернет-магазин | Раз в 6 месяцев | Раз в год |
| CRM, SaaS | Раз в квартал | Раз в год |
| Финтех, медицина | Раз в квартал | Раз в 6 месяцев |
| Госсектор | Раз в квартал | Раз в 6 месяцев |
Кроме плановых аудитов, внеплановые проводятся при:
- Смене инфраструктуры: новое оборудование, миграция в облако;
- После инцидента: если была утечка или атака;
- Перед проверкой: если готовитесь к аудиту регулятора;
- Перед запуском: нового продукта или крупного обновления.
Что делать с результатами
Аудит — это не самоцель. Главное — действия по результатам.
Порядок работы
- Приоритизация: сортировка найденных проблем по критичности;
- План: конкретные шаги по устранению каждой проблемы;
- Ответственные: кто и что делает;
- Сроки: когда проблемы будут устранены;
- Проверка: подтверждение, что проблема решена;
- Документирование: сохранение отчёта и результатов.
Приоритеты
- Critical: уязвимости, позволяющие получить полный доступ — исправлять немедленно;
- High: серьёзные проблемы — исправлять в течение недели;
- Medium: потенциальные риски — исправлять в течение месяца;
- Low: улучшения — по возможности, планово.
Отчёт
- Резюме: общая оценка безопасности;
- Найденные проблемы: по приоритетам;
- Рекомендации: что и как исправить;
- Доказательства: логи, скриншоты, выводы команд;
- План действий: конкретные шаги.
Чек-лист аудита
Сеть
- Открытые порты
- Настройки файрвола
- Защита от DDoS
- Сегментация сети
- Мониторинг трафика
ОС и сервисы
- Обновления ОС
- Активные пользователи
- Права доступа
- Настройки SSH
- Службы и процессы
Веб-сервер
- Версии ПО
- SSL и шифры
- Заголовки безопасности
- Права на файлы
- Отключены лишние модули
Базы данных
- Доступ и права
- Шифрование данных
- Регулярные бэкапы
- Мониторинг запросов
- Тестирование восстановления
Логи и аудит
- Что логируется
- Сроки хранения
- Кто имеет доступ
- Централизация
- Оповещения
Восстановление
- Регулярность бэкапов
- Хранение вне сервера
- Шифрование
- Тестирование раз в месяц
- Документация
Наши рекомендации
Что вы получаете, заказывая аудит у нас
- Проверку — сеть, ОС, веб-сервер, БД
- Сканирование — уязвимости, конфигурации
- Анализ логов — брутфорс, аномалии
- Отчёт — с приоритетами
- План — что и как исправить
- Помощь — с устранением проблем
📌 Итоговый вывод
Аудит безопасности — это способ увидеть реальное состояние инфраструктуры.
Что нужно знать:
- Зачем — найти уязвимости, соответствовать требованиям, документировать
- Что проверять — сеть, ОС, веб-сервер, приложение, БД, логи, пользователи
- Инструменты — Lynis, Nmap, OpenVAS, Nikto, testssl.sh
- Сканирование — автоматическая проверка на известные уязвимости
- Аудит конфигураций — проверка правильности настроек
- Анализ логов — поиск подозрительной активности
- Пентест — имитация атаки, дополняет аудит
- Частота — от года (сайт) до квартала (финтех)
Также рекомендуем: 152-ФЗ для серверов, файрвол на сервере, Fail2ban, SSH-ключи и 2FA, с чего начать защиту, настройка безопасности.