Защита и проверка безопасности production-серверов Ubuntu

Три production VPS на Ubuntu 22.04 с PHP, Nginx и MySQL работают с близкими к дефолтным настройками безопасности — это неприемлемо для продакшн-среды. Внутренний ревью выявил открытый SSH на стандартном порту, парольную аутентификацию, минимальные правила фаервола и отсутствие мониторинга подозрительной активности. Нужен DevOps-специалист, который проведёт комплексный аудит и доведёт конфигурацию серверов до production-стандартов безопасности.

Все изменения должны быть задокументированы и проверены на работающих приложениях до применения в продакшн. По завершении — PDF-отчёт с выявленными уязвимостями, принятыми мерами и остаточными рисками, плюс настроенный мониторинг с алертами на аномальную активность.

Работа ведётся аккуратно и обратимо: каждое изменение сопровождается возможностью отката, чтобы случайно не положить рабочие сервисы. По итогам мы хотим получить не только защищённую конфигурацию, но и понятную документацию, по которой команда сможет самостоятельно поддерживать безопасность в дальнейшем.

Что нужно:
— SSH только по ключам, нестандартный порт, fail2ban
— UFW + fail2ban для Nginx и PHP-FPM
— Let's Encrypt с автообновлением
— Nginx: TLS 1.2+, HSTS, CSP, заголовки безопасности
— Аудит MySQL (привилегии, bind-address)
— Logwatch и алертинг
— ClamAV и сканер руткитов
— Мониторинг (Netdata или аналог)

Результат: применённые настройки + PDF-отчёт по безопасности