تقوية خادم VPS جديد

ما الذي يخترق الخوادم فعلاً

ليس نقاط الضعف الصفرية. في الممارسة: هجمات القوة الغاشمة على كلمات مرور SSH الضعيفة، خدمات غير محدثة تُترك تعمل لأشهر، لوحات إدارة مكشوفة بكلمات مرور افتراضية، وثغرات تطبيقية في ما ثبته المشغل. القائمة مملة ولم تتغير منذ خمسة عشر عاماً.

القائمة أدناه مرتبة حسب مقدار المخاطرة التي يزيلها كل إجراء لكل دقيقة تُنفق. نفذها بالترتيب وتوقف عندما ينفد صبرك — ستظل قد أزلت معظم المخاطرة.

الخطوة 1 — مفاتيح SSH فقط

هذا التغيير البسيط يزيل الهجوم الأكثر شيوعًا تمامًا. أنشئ مفتاح Ed25519، وانسخ النصف العام إلى الخادم، ثم عدّل /etc/ssh/sshd_config لضبط PasswordAuthentication no وPermitRootLogin prohibit-password وKbdInteractiveAuthentication no.

اختبر المفتاح في طرفية ثانية قبل إغلاق الأولى. إقفال نفسك خارج الخادم أمر محرج، وعلى جهاز يتوفر فيه وصول عبر لوحة التحكم يمكن استعادته بالكامل — لكن افعل ذلك بالترتيب الصحيح على أي حال.

الخطوة 2 — جدار حماية يرفض افتراضيًا

استخدم nftables على Debian وUbuntu الحديثين، أو firewalld على مشتقات RHEL. ارفض افتراضيًا الاتصالات الواردة، واسمح بالاتصالات القائمة والمرتبطة، واسمح بمنفذ SSH الخاص بك، واسمح بما يحتاجه عبء العمل فقط، ولا شيء غيره.

الانضباط المهم هو أن "لا شيء غيره" هو الهدف كله. جدار حماية يحتوي على قاعدة متساهلة أُضيفت أثناء التصحيح ولم تُحذف هو جدار حماية لا يفعل شيئًا.

• السياسة الافتراضية: ارفض الوارد، واقبل الصادر
• اقبل الاتصالات القائمة والمرتبطة
• اقبل مرور الحلقة المحلية
• اقبل منفذ SSH الخاص بك، ومن الأفضل أن يكون محدود المعدل
• اقبل منافذ عبء العمل، مدرجة بوضوح
• اقبل ICMP echo — لا تكسر اكتشاف MTU للمسار

الخطوة 3 — التحديثات الأمنية التلقائية

استخدم unattended-upgrades على Debian وUbuntu، وdnf-automatic على مشتقات RHEL، واضبطها للتحديثات الأمنية فقط. معظم الاختراقات تستغل ثغرات تم تصحيحها قبل شهور.

فعّل إعادة التشغيل التلقائي في نافذة صيانة إذا كان عبء العمل يتحمل ذلك. تحديثات النواة لا تفيد شيئًا حتى يعاد تشغيل الجهاز، والخادم الذي يعمل منذ 400 يوم ولديه إحدى عشرة ثغرة معلقة في النواة ليس وسام شرف.

الخطوة 4 — fail2ban، وملاحظة حول قيمته الحقيقية

مع تعطيل مصادقة كلمة المرور بالفعل، يوقف fail2ban عددًا قليلًا نسبيًا من الاختراقات الفعلية. ما يفعله هو تقليل ضوضاء السجلات بشكل كبير، وهو أمر مهم لأن سجلاً مليئًا بآلاف المحاولات الفاشلة هو سجل لا يقرأه أحد، والسجلات غير المقروءة هي كيف تمر الاختراقات الحقيقية دون أن تلاحظ لأسابيع.

السجن الافتراضي لـ sshd كافٍ. أضف سجونًا لأي شيء آخر تعرضه للإنترنت.

الخطوة 5 — تقليل سطح الهجوم

شغّل ss -tlnp وانظر إلى ما يستمع. على تثبيت افتراضي، يشمل هذا عادةً خدمات لم تكن تعرف أنها تعمل ولا تحتاجها. احذفها بدلاً من حمايتها بجدار حماية — البرنامج غير المثبت ليس له ثغرات.

اربط الخدمات التي تحتاج وصولًا محليًا فقط بـ 127.0.0.1 بدلاً من 0.0.0.0. قاعدة بيانات تستمع على جميع الواجهات خلف جدار حماية تبعد سوء إعداد واحد عن أن تكون عامة.

ما يجب تخطيه

تغيير منفذ SSH يقلل ضوضاء السجلات ويوقف صفر هجمات موجهة تمامًا. افعلها إذا أردت، لكن لا تعتبرها أمانًا. إخفاء المنفذ (Port knocking) يضيف هشاشة مقابل فائدة هامشية. أنظمة كشف التسلل تولد تنبيهات لا يفرزها أحد على خادم واحد.

إذا أردت خطوة أخرى ذات معنى بعد الخطوات الخمس أعلاه، فهي نسخ احتياطية مشفرة خارج الموقع في ولاية قضائية مختلفة، مختبرة باستعادة فعلية. القدرة على الاستعادة تساوي أكثر من طبقة وقاية إضافية.