Sicherheit

Server absichern und Angriffe erkennen: Fail2ban, Firewall-Regeln, verdächtige Dateien, Login-Versuche und schnelle Prüfungen nach einem Vorfall.

18 Einzeiler: 16 harmlos, 2 vorsicht, 0 destruktiv

audit 6 find 5 malware 5 benutzer 4 sperre 3 ssh 2 awk 2 fail2ban 2 journalctl 2 brute-force 2 forensik 2 sudo 2

Alle hinterlegten SSH-Schlüssel auf dem Server auflisten

#find / -xdev -path '*/.ssh/authorized_keys' -type f -exec awk 'NF && !/^#/ {print FILENAME ": " $NF}' {} + 2>/dev/null

Benutzerkonten mit Login-Shell auflisten

$awk -F: '$7 !~ /(nologin|false)$/ {print $1, $3, $6, $7}' /etc/passwd

Einzelne IP-Adresse sofort per Firewall sperren

#iptables -I INPUT -s 203.0.113.25 -j DROP

Für alle beschreibbare Dateien und Verzeichnisse finden

$find /var/www/vhosts -xdev -perm -0002 ! -type l -ls 2>/dev/null

Gesperrte IP-Adresse in Fail2Ban wieder freigeben

#fail2ban-client set sshd unbanip 203.0.113.25

IP-Adressen mit den meisten fehlgeschlagenen SSH-Logins

#journalctl -u ssh --since "24 hours ago" --no-pager | grep -oE 'Failed password for .* from [0-9a-f.:]+' | awk '{print $NF}' | sort | uniq -c | sort -rn | head -20

Konten mit UID 0 und damit Root-Rechten finden

$awk -F: '$3 == 0 {print $1}' /etc/passwd

Kürzlich geänderte PHP-Dateien finden

$find /var/www/vhosts/example.com/httpdocs -type f -name '*.php' -mtime -7 -printf '%TY-%Tm-%Td %TH:%TM %p\n' | sort -r

Letzte Anmeldungen am Server mit IP-Adresse anzeigen

$last -i | head -30

Mit sudo ausgeführte Befehle aus dem Journal anzeigen

#journalctl _COMM=sudo --since "7 days ago" --no-pager | grep 'COMMAND='

Mitglieder der sudo-Gruppe anzeigen

$getent group sudo

Passwortstatus aller Benutzerkonten anzeigen

PHP-Dateien im WordPress-Uploads-Ordner aufspüren

$find /var/www/vhosts/example.com/httpdocs/wp-content/uploads -type f \( -iname '*.php' -o -iname '*.phtml' -o -iname '*.php[0-9]' \) -ls

Prozesse finden, deren Programmdatei gelöscht wurde

#ls -l /proc/*/exe 2>/dev/null | grep '(deleted)'

Status eines Fail2Ban-Jails und gesperrte IPs anzeigen

#fail2ban-client status sshd

Typische Malware-Muster in PHP-Dateien suchen

$grep -rlE --include='*.php' 'eval\((base64_decode|gzinflate|gzuncompress|str_rot13)\(' /var/www/vhosts/example.com/httpdocs

Veränderte Dateien installierter Pakete erkennen

Versteckte PHP-Dateien im Webverzeichnis finden

$find /var/www/vhosts/example.com/httpdocs -type f -name '.*.php' -ls