استخدم هذه القائمة كمراجعة أساسية لأي سيرفر جديد، وكررها كل بضعة أشهر على السيرفرات الحالية.
الدخول
- الدخول عبر SSH بالمفاتيح، والدخول بكلمة المرور متوقف.
- دخول root المباشر عبر SSH متوقف.
- لكل مدير حساب شخصي، ولا توجد حسابات مشتركة.
- حُذفت حسابات من تركوا العمل ومفاتيح SSH الخاصة بهم.
- الحماية من تخمين كلمات المرور (مثل fail2ban) تعمل.
التحديثات
- نظام التشغيل إصدار مدعوم وما زال يتلقى التحديثات الأمنية.
- التحديثات الأمنية تُطبق تلقائيًا أو بجدول ثابت.
- التطبيقات المثبتة خارج مدير الحزم (أنظمة المحتوى وأطر العمل) تُحدَّث أيضًا.
الشبكة
- الجدار الناري يسمح فقط بالمنافذ المستخدمة، والباقي مرفوض افتراضيًا.
- قواعد البيانات والتخزين المؤقت ولوحات الإدارة غير متاحة من الإنترنت، وتعمل على localhost أو شبكة خاصة.
- منافذ الإدارة مقصورة على عناوين IP معروفة حيثما أمكن.
الخدمات
- حُذفت الخدمات والحزم غير المستخدمة.
- خدمات الويب وقواعد البيانات تعمل بمستخدمين بلا صلاحيات إدارية.
- صلاحيات الملفات لا تسمح لسيرفر الويب بالكتابة في مجلدات الكود إلا عند الحاجة.
- TLS مفعّل لكل خدمة عامة، مع إيقاف البروتوكولات القديمة (TLS 1.0 و1.1).
السجلات والمراقبة
- سجلات النظام والتطبيقات محفوظة ويتم تدويرها.
- يصل تنبيه لشخص مسؤول عند ارتفاع استهلاك القرص أو الذاكرة أو المعالج، أو عند توقف السيرفر عن الاستجابة.
- محاولات الدخول واستخدام sudo مسجّلة.
النسخ الاحتياطي والاستعادة
- النسخ الاحتياطي تلقائي ونسخة محفوظة خارج السيرفر.
- تم اختبار الاستعادة مؤخرًا.
- توجد ملاحظات مكتوبة بطريقة بناء السيرفر لإعادة بنائه عند الحاجة.
التأمين ليس مهمة تُنجز مرة واحدة؛ فمعظم الاختراقات تستغل ثغرة معروفة أُصلحت قبل أشهر في تحديث لم يثبّته أحد.