La guida del weekend: mettere in sicurezza un VPS Ubuntu 24.04 appena creato

Ottobre 2026 è il mese europeo della cybersicurezza: la campagna ECSM, coordinata da ENISA insieme alla Commissione Europea, si svolge dal 01 October 2026 al 31 October 2026. Buon pretesto per rifare, con calma, i passaggi base su un VPS Ubuntu 24.04 appena creato. Niente di esotico: sono gli stessi sei passi che qualunque provider serio si aspetta prima di mettere un server in produzione. Qui ogni comando ha il suo comando di verifica, così chi legge può controllare che abbia davvero funzionato.

1. Utente non root con sudo

Primo accesso: si crea un utente dedicato e lo si aggiunge al gruppo sudo, prima di toccare qualunque altra cosa.

adduser deploy
usermod -aG sudo deploy

Verifica: id deploy deve mostrare il gruppo sudo tra i secondari. Da questo momento si lavora da lì, root resta per emergenze.

2. Chiave SSH al posto della password

La documentazione ufficiale di Ubuntu Server consiglia la chiave ed25519 per dimensioni ridotte e costo computazionale più basso rispetto a RSA: We recommend the ed25519 Elliptic Curve algorithm ( -t ed25519 ) due to shorter key size and lower computational requirements. Dal client:

ssh-keygen -t ed25519
ssh-copy-id deploy@IP_DEL_SERVER

Prima di chiudere la sessione con password, si apre un secondo terminale e si prova il login con la chiave. Solo se funziona si procede. Per il troubleshooting la stessa documentazione indica di seguire i log in tempo reale sul server di destinazione: sudo journalctl -fu ssh.service.

3. Disabilitare il login root via SSH

Si crea uno snippet dedicato invece di modificare il file principale, pratica raccomandata dalla documentazione Ubuntu perché any settings defined in files within sshd_config.d/ will override those in the main configuration file:

echo "PermitRootLogin no" | sudo tee /etc/ssh/sshd_config.d/99-hardening.conf
echo "PasswordAuthentication no" | sudo tee -a /etc/ssh/sshd_config.d/99-hardening.conf
sudo sshd -t
sudo systemctl restart ssh.service

Il controllo sudo sshd -t prima del riavvio è quello che evita di restare fuori dal server: la stessa documentazione avverte che if your only method of access to a server is SSH, and you make a mistake when configuring sshd you may find you are locked out.

4. Firewall con ufw

Su Ubuntu il firewall non è attivo di default: ufw by default is initially disabled. Si apre solo la porta SSH, poi si attiva:

sudo ufw allow 22
sudo ufw enable
sudo ufw status verbose

L'ultimo comando mostra lo stato e le regole attive, compresa la policy di default in uscita e ingresso.

5. fail2ban contro i tentativi di forza bruta

sudo apt install fail2ban
sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

Il jail sshd va configurato in un file locale (/etc/fail2ban/jail.local) per non perdere le modifiche al prossimo aggiornamento del pacchetto. fail2ban-client status sshd mostra i tentativi falliti e gli IP attualmente bannati.

6. Aggiornamenti di sicurezza automatici

Sulle immagini server, il pacchetto è già presente: Ubuntu 24.04 includes unattended-upgrades by default, but verify it's installed. Si verifica e, se serve, si riconfigura:

sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades
sudo systemctl status apt-daily.timer
sudo systemctl status apt-daily-upgrade.timer

Da Ubuntu 24.04 c'è una novità rispetto alle versioni precedenti: this is handled by the needrestart(1) package, which unattended-upgrades calls after applying updates. Starting with Ubuntu 24.04 LTS, needrestart restarts the affected services automatically by default. Da verificare se un servizio critico (database, coda di lavoro) deve restare escluso da questo comportamento, aggiungendolo alla lista delle eccezioni di needrestart.

Sei passaggi, sei comandi di verifica. Da rifare ogni volta che si crea un VPS nuovo, non solo a ottobre.