تأمين خادم Linux جديد: قائمة الساعة الأولى

تفحص الماسحات الآلية كل عنوان IP عام على الإنترنت بشكل مستمر. ويمكن اكتشاف خادم جديد بكلمة مرور ضعيفة أو خدمة مكشوفة ومهاجمته قبل أن تنتهي من تثبيت تطبيقك. والتأمين ليس مهمة واحدة كبيرة، بل قائمة قصيرة من الخطوات تُنفذ بالترتيب الصحيح.

الوصول

1. حدّث كل شيء أولًا: طبّق كل التحديثات الأمنية المعلقة، وأعد التشغيل إذا تغيرت النواة.
2. أنشئ مستخدمًا شخصيًا بصلاحيات sudo، ولا تعمل بحساب root.
3. استخدم مفاتيح SSH، ثم عطّل تسجيل الدخول بكلمة المرور والدخول المباشر بحساب root في إعدادات SSH.
4. حدد من يمكنه الاتصال: اقصر SSH على عناوين IP معروفة أو ضعه خلف شبكة افتراضية خاصة حيثما أمكن.

الشبكة

• فعّل جدارًا ناريًا على الخادم يرفض الاتصالات الواردة افتراضيًا ويسمح فقط بالمنافذ التي تحتاجها، مثل 22 (مقيد) و80 و443.
• افحص الخدمات المستمعة بأمر مثل ss -tlnp، وأزل أو اربط بالعنوان المحلي أي خدمة لا ينبغي أن تكون عامة، كقواعد البيانات وأنظمة التخزين المؤقت.
• طبّق القواعد نفسها على IPv6.

الحماية المستمرة

• فعّل التحديثات الأمنية التلقائية، أو حدد جدولًا للتحديث ومسؤولًا واضحًا عنه.
• ثبّت أداة تحظر محاولات الدخول الفاشلة المتكررة مثل fail2ban.
• حافظ على دقة الساعة عبر NTP، فالسجلات والشهادات تعتمد عليها.
• أرسل السجلات خارج الخادم، حتى لا يستطيع المهاجم محو آثاره.
• فعّل النسخ الاحتياطي الدوري، واختبر الاستعادة قبل أن تعتمد عليه.

التطبيقات

• شغّل كل خدمة بمستخدم خاص بها بلا صلاحيات عليا.
• أبعد الأسرار عن مستودعات الشيفرة والملفات المتاحة للقراءة للجميع.
• أزل الصفحات الافتراضية والتطبيقات التجريبية والحزم غير المستخدمة.
• استخدم TLS لكل خدمة تنقل بيانات، بما فيها الخدمات الداخلية.

احتفظ بسجل

دوّن ما غيرته. فدليل تشغيل قصير يجعل إعداد الخادم التالي أسرع، ويجعل عمليات التدقيق أسهل بكثير.

كيف تساعدك IDX

تأتي خوادم VPS والخوادم المخصصة من IDX بصلاحيات root كاملة لتطبق هذه القائمة بنفسك. وإذا فضّلت غير ذلك، تغطي خدمة الخوادم المُدارة التحديث والمراقبة والتأمين والاستجابة للحوادث.