Семён Воронов

[08:44] ~ [root@ses] (dcn03srv056)
$ apt-cache search bpython
bpython3 - fancy interface to the Python interpreter - Curses frontend
bpython - забавный интерфейс для интерпретатора Python — оболочка Curses

# Убедись что он 2ой версии
apt-cache show python-virtualenv
# Устанавливаешь virtualenv  
apt-get install python-virtualenv  
# Создаешь новый проект, установленные в системы либы не тянешь
virtualenv --no-site-packages project
# Активируешь виртуальное окружение
# Все. Теперь команда pip будет устанавливать все пакеты в твое окружение а не системное
. ./project/bin/activate
# Устанавливаешь Django   
pip install django

$ apt-cache search virtualenv
python-pip - alternative Python package installer
python3-pip - alternative Python package installer - Python 3 version of the package

server {
        listen       80;
        server_name  pma.example.com;
        root /var/www/phpmyadmin/;

        error_log       /var/log/nginx/pma-err.log;

        location / {
                index index.php index.html;
        }

        location ~ \.php$ {
                fastcgi_pass unix:/var/run/php-fpm-www.socket;
                fastcgi_index index.php;
                fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
                include fastcgi_params;
        }
}

server {
        listen       80;
        server_name site.example.ru;
        error_log   /var/log/nginx/site.example.ru-err.log;

        auth_basic           "Frontend Security";
        auth_basic_user_file        ht/stie.example.ru.conf;


       location / {
                uwsgi_pass 127.0.0.1:49001;
                include uwsgi_params;
       }

        location /media/ {
                alias /var/www/django/code/site/media/;
                expires 30d;
        }

        location /s/ {
                alias /var/www/django/code/site/allstatic/;
                expires 30d;
        }
}

1. Отключи не используемые службы (rpcbind, nfscommon) к примеру
2. Заблокируй не используемых пользователей, проверь не имеют ли системные пользователи паролей (в /etc/shadow наличие хеша во втором поле, если имеют а доступ им не нужен ставь '!')
3. Желательно включить ssh авторизацию только по ключам, включить опцию AllowUsers со списком пользователей которым авторизироваться разрешено. Отключить авторизацию по ssh root и создать системного пользователя с оболочкой sh, без всяких привилегий. Его занести в AllowUsers, при логине выполнять /bin/su - с полным путем.
4. По возможности все используемые службы контролировать TCP Wrappers (/etc/hosts.{allow,deny})
   
5. Установить библиотеку snoopy (snoopy logger) - очень подробное логирование запускаемых процессов.
6. Соответственно настроить rsyslog/syslog-ng и перенаправлять логи желательно на сторонний сервер. Для логов есть различные веб-морды с различными отчетами и сортировками.
7. Для контроля версий конфигурационных файлов советую использовать git в /etc либо выносить под различные службы в отдельные репозитарии и, конечно, настроить правильно .gitignore. Тут же присмотрись к подсистеме событий файловой системе inotify и отличному демону incron. Он пригодиться может не только в этом пункте, с ним можно много интересных вещей контролировать.
8. По возможности настраивай все службы и сервисы в chroot окружении.
9. Iptables. Можно на нем, а можно к примеру на ipset настраивать правила. Тут все просто. Лучше сначала создай скрипт на тестовой машине. Политики по умолчанию - deny all, а дальше разрешаешь что нужно. Конкретно что то посоветовать не имеет смысла если ты как обезьянка начнешь копировать без понимания. Есть отличная литература по iptables. А дальше ищи в интернете iptables tips, примеры настройки iptables и вникай что там делают и для чего. Но не перемудри. Понимай что пакеты пробегают по всем цепочкам правил. Это нагрузно. Задумайся об использовании ipset.
   Всякие fail2ban-ы советовать не буду. Слишком спорно и не нужно если ты правильно отстроишь любой сервис работающий поверх netfilter. Так же многие хостинги из коробки имеют защиту от DDOS и брута на уровне своего железа типа ASA-к и тд.
   Периодически делай срезы tcpdump-ом (особенно в подозрительных ситуациях) и анализируй wireshark-ом.
10. Постоянные бэкапы, хоть rsync, fsbackup, unison, bacula и тд - выбор большой