Wpis użytkownika redve w Hydepark

@baklazan i @redve - panowie - najpierw trzeba zadbać o SSH - lepiej to zrobić od razu nawet jak się nie wystawia SSH na świat: https://techvortex.net/guide-to-linux-security-ssh-hardening-selinux-apparmor-firewalls-and-security-audits/
A samo zabezpieczenie Nginx z SELinux nie jest takie skomplikowane - pomocna jest oficjalna dokumentacja: https://docs.nginx.com/nginx-instance-manager/system-configuration/configure-selinux/
Jak potrzebujecie więcej info to szukajcie frazy "harden nginx" 👍
Ważnym aspektem jest też monitorowanie serwera i logów nginx i ustawienie sobie alarmów - by od razu wiedzieć, że coś się nie tak dzieje - tu jest z grubsza to opisane: https://sematext.com/blog/nginx-monitoring/
Oczywiście nie muszę chyba wspominać, że uaktualnianie paczek systemowych minimum raz na miesiąc to podstawa by łatać CVEsy :stuck_out_tongue_winking_eye:

Guide to Linux Security: SSH Hardening, SELinux, AppArmor, etc.Using mandatory access controls like SELinux or AppArmor, properly configuring your firewall, and conducting regular audits.TechVortex

@redve O, ja też byłbym ciekaw, podziel się jak coś dostaniesz, bo mam braki w wiedzy

@koszotorobur włącze, generalnie byłbym wdzięczny za jakiś poradnik jak przygotować serwer do wystawienia na świat. Wiem tylko o reverse proxy z nginxem żeby wystawić tylko jeden port (80)

@redve - włączasz enforcement mode od razu?

@koszotorobur na serwerze