Опис проєкту
ПерекладЗахист продакшн-серверів — це не одноразова задача, а систематичний процес, який вимагає методичного охоплення кожної поверхні атаки. Наші три сервери Ubuntu 22.04 VPS розміщують PHP-додатки, бази даних MySQL та веб-обслуговування Nginx — стандартний LEMP стек, але той, який несе значний ризик, якщо не належним чином посилений. Ми експлуатували ці сервери з конфігураціями за замовчуванням або близькими до замовчування, і внутрішній огляд виявив, що ми наражаємось на ризик на кількох фронтах: SSH доступна на порту 22 з автентифікацією паролем, правила брандмауера мінімальні, немає автоматизованого запобігання вторгненню, та сертифікати SSL поновлюються вручну.
Нам потрібен DevOps інженер з доведеним досвідом роботи в продакшн-середовищах Linux для проведення ретельного аудиту безпеки та реалізації всіх заходів посилення документованим, оборотним способом. Кожна зміна повинна бути протестована на вплив на запущені програми перед застосуванням до продакшену, і всі модифікації повинні бути комплексно задокументовані, щоб наша команда розуміла, що було зроблено та чому. Залучення повинно завершитися звітом про безпеку в форматі PDF, який підсумовує всі виявлення, вжиті заходи та будь-які залишкові ризики, плюс робуче налаштування моніторингу, яке сповіщає нас, якщо постава безпеки змінюється.
Обсяг робіт:
— Посилення SSH: автентифікація тільки за ключем, спеціальний порт, обмеження входу, fail2ban
— Правила брандмауера UFW/iptables з задокументованим набором правил
— Конфігурація Fail2ban для SSH, Nginx та PHP-FPM
— Let's Encrypt SSL з автоматичним поновленням сертифікатів
— Посилення Nginx: заголовки безпеки, примус TLS 1.2+, HSTS, CSP
— Аудит безпеки MySQL та посилення: привілеї користувачів, bind-address, шифрування при зберіганні
— Logwatch та оповіщення електронною поштою для аномальної діяльності
— Налаштування антивірусу ClamAV та сканера rootkits
— Моніторинг здоров'я на основі Cron з сповіщеннями про час безперервної роботи
Результати: всі зміни застосовані та задокументовані, звіт про безпеку в PDF з виявленнями, інформаційна панель моніторингу (Netdata або еквівалент).
Нам потрібен DevOps інженер з доведеним досвідом роботи в продакшн-середовищах Linux для проведення ретельного аудиту безпеки та реалізації всіх заходів посилення документованим, оборотним способом. Кожна зміна повинна бути протестована на вплив на запущені програми перед застосуванням до продакшену, і всі модифікації повинні бути комплексно задокументовані, щоб наша команда розуміла, що було зроблено та чому. Залучення повинно завершитися звітом про безпеку в форматі PDF, який підсумовує всі виявлення, вжиті заходи та будь-які залишкові ризики, плюс робуче налаштування моніторингу, яке сповіщає нас, якщо постава безпеки змінюється.
Обсяг робіт:
— Посилення SSH: автентифікація тільки за ключем, спеціальний порт, обмеження входу, fail2ban
— Правила брандмауера UFW/iptables з задокументованим набором правил
— Конфігурація Fail2ban для SSH, Nginx та PHP-FPM
— Let's Encrypt SSL з автоматичним поновленням сертифікатів
— Посилення Nginx: заголовки безпеки, примус TLS 1.2+, HSTS, CSP
— Аудит безпеки MySQL та посилення: привілеї користувачів, bind-address, шифрування при зберіганні
— Logwatch та оповіщення електронною поштою для аномальної діяльності
— Налаштування антивірусу ClamAV та сканера rootkits
— Моніторинг здоров'я на основі Cron з сповіщеннями про час безперервної роботи
Результати: всі зміни застосовані та задокументовані, звіт про безпеку в PDF з виявленнями, інформаційна панель моніторингу (Netdata або еквівалент).
Адміністрування Готівка, Банківський переказ
