تقليل نقاط الهجوم

كل خدمة تعمل على الخادم هي شيء يمكن للمهاجم فحصه، لذلك يبدأ التأمين بإزالة ما لا تحتاجه.

اعرف ما الذي يستمع للاتصالات

sudo ss -tulpn

اسأل نفسك عن كل منفذ: هل يجب أن يكون متاحًا من الإنترنت؟ خادم الويب يحتاج المنفذين 80 و443، أما قاعدة البيانات فنادرًا ما تحتاج أن تكون عامة.

اربط الخدمات الداخلية بالعنوان المحلي

في إعدادات MariaDB:

bind-address = 127.0.0.1

ويجب أن تستمع أيضًا خدمات Redis وMemcached ولوحات الإدارة على 127.0.0.1 أو على شبكة خاصة فقط.

جدار حماية يرفض افتراضيًا

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw allow 80,443/tcp
sudo ufw enable

وإذا كان عنوان IP لمكتبك ثابتًا، اقصر الوصول إلى SSH عليه: ufw allow from 198.51.100.7 to any port 22.

أزل البرامج غير المستخدمة

sudo apt purge telnetd ftp rsh-server
sudo apt autoremove