Accesso SSH

• Porta non standard: 318
• Accesso root disabilitato
• Accesso limitato a utenti specifici
• Fail2ban contro brute-force SSH

Port 318
PermitRootLogin no
PasswordAuthentication yes
AllowUsers utentenome

Firewall UFW

• Policy predefinita: deny
• Aperte solo le porte necessarie
• Rate limit per SSH e Nginx
• GeoIP: Europa e USA
• Aggiornamento giornaliero liste VPN e Tor

ufw default deny incoming
ufw allow 1024/tcp
ufw allow 80,443/tcp
ufw enable

Fail2ban

• Jail: sshd, postfix, dovecot, Nextcloud, WordPress, Roundcube e nginx-*
• Ban permanente con sblocco manuale
• Notifiche Telegram per ban e unban
• Report periodici ogni 4 ore

[nextcloud]
enabled = true
port = http,https
filter = nextcloud
bantime = -1
maxretry = 3

ModSecurity

• OWASP CRS attivo in paranoia 2
• Regole personalizzate per WordPress e Nextcloud
• Integrazione con Fail2ban per ban automatici

SecRuleEngine On
SecRequestBodyAccess On
SecResponseBodyAccess Off
SecDefaultAction "phase:1,log,deny,status:403"

Suricata IDS/IPS

• Modalità IDS con af-packet
• Limite RAM: 512 MB
• Feed Emerging Threats (et/open)
• Alert Telegram con riepilogo periodico

af-packet:
  - interface: eth0
    cluster-id: 99
    cluster-type: cluster_flow
    defrag: yes

Kernel hardening

Parametri sysctl per ridurre superficie d’attacco e comportamenti di rete non necessari.

net.ipv6.conf.all.disable_ipv6 = 1
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0

AIDE · integrità file

• Database aggiornato settimanalmente
• Report email sui file modificati
• Esecuzione automatizzata tramite cron