# Чек-лист безопасности

## Как защитить виртуальные машины

В UzCloud платформа защищает инфраструктуру: дата-центры, гипервизоры и сеть. **За то, что работает внутри ВМ, отвечаете вы**: операционная система, приложения, учетные записи и открытые порты. Большинство атак на облачные серверы не используют ничего экзотического — они пользуются отсутствием обновлений, слабыми паролями и портами, открытыми для всего интернета.

В этом чек-листе перечислено, что нужно сделать на каждой ВМ. У каждого пункта есть ссылка на подробную инструкцию.

---

### Сразу после создания ВМ

- [ ] **Входите только по SSH-ключам.** Добавьте SSH-ключ при создании ВМ, затем отключите вход по паролю и прямой вход под root. См. **[Защита SSH](ssh-hardening.md)**.
- [ ] **Установите все обновления и перезагрузите ВМ.** Новая ВМ может быть создана из образа, которому уже несколько недель. См. **[Обновление операционной системы](update-os.md)**.
- [ ] **Откройте только нужные порты.** Разрешайте SSH (22) и RDP (3389) только со своих IP-адресов, никогда — для `0.0.0.0/0`. См. **[Сетевой доступ](network-access.md)**.
- [ ] **Настройте резервное копирование.** Включите резервное копирование дисков ВМ по расписанию. См. **[Резервные копии](../backups/create-backups.md)** и **[Расписания](../schedules/schedules.md)**.

### Каждый месяц

- [ ] Проверяйте, что обновления безопасности установлены, и перезагружайте ВМ, если обновилось ядро.
- [ ] Просматривайте список открытых портов и правил брандмауэра и удаляйте ненужные.
- [ ] Проверяйте, что операционная система еще поддерживается производителем (не достигла end of life).
- [ ] Просматривайте **Activity Logs** и **Login History** своего аккаунта UzCloud.

### Каждый квартал

- [ ] Проверяйте восстановление ВМ из резервной копии. Копия, из которой ни разу не восстанавливались, — не гарантия.
- [ ] Пересматривайте пользователей аккаунта UzCloud и их роли и удаляйте тех, кому доступ больше не нужен.
- [ ] Меняйте API-токены и ключи доступа S3.

### Защита аккаунта UzCloud

- [ ] Включите двухфакторную аутентификацию. См. **[Безопасность аккаунта](account-security.md)**.
- [ ] Заведите каждому сотруднику отдельного пользователя с минимально необходимой ролью вместо одного общего аккаунта.

---

### Оповещения об актуальных уязвимостях

Когда критическая уязвимость затрагивает ВМ наших клиентов, мы публикуем оповещение с инструкциями:

- **[CVE-2026-98432: уязвимость TCP в ядре Linux](vulnerabilities/cve-2026-98432.md)** — 4 ноября 2026 г.

> [!TIP]
> Если сервер критичный или что-то непонятно, обратитесь в **[поддержку](../support/support.md)** до начала работ — мы поможем спланировать действия.