حين نُنشئ سيرفرًا جديدًا لعميل ونترك سجلات الدخول مفتوحة أمامنا، نرى محاولات الدخول الأولى تبدأ خلال دقائق. لا أحد يعرف بعد ما الذي سيعمل على هذا السيرفر، لكن البرامج الآلية التي تمسح الإنترنت وجدته، وبدأت تجرّب أسماء مستخدمين وكلمات مرور شائعة. هذه هي البيئة التي يعيش فيها أي سيرفر متصل بالإنترنت، ولهذا يجب تأمينه قبل أن يُوضع عليه أي شيء مهم.
هذه الخطوات ليست قائمة كاملة لكل الحالات، لكنها الحد الأدنى الذي نطبقه على كل سيرفر لينكس نسلّمه.
١. التحديث فورًا
الصورة الجاهزة التي يأتي بها السيرفر قد يكون عمرها أشهرًا، وفيها ثغرات أُغلقت بعد ذلك. أول ما نفعله تحديث النظام بالكامل، ثم تفعيل التحديثات الأمنية التلقائية، بحيث تُثبت إصلاحات الأمان دون انتظار تدخل بشري.
٢. مستخدم عادي بدل المدير
العمل الدائم بحساب المدير الأعلى خطر، لأن أي خطأ أو اختراق يمنح صلاحيات كاملة فورًا. ننشئ حسابًا عاديًا لكل شخص يحتاج إلى الدخول، ونمنحه صلاحية رفع الامتياز عند الحاجة فقط، فيُسجل كل أمر إداري باسم من نفذه.
٣. المفاتيح بدل كلمات المرور
الدخول بكلمة مرور هو ما تستهدفه محاولات التخمين الآلية. ولذلك نستخدم المفاتيح المشفرة للدخول، وهي أطول وأصعب من أي كلمة مرور، ثم نعطّل الدخول بكلمة المرور تمامًا. ونعطّل كذلك الدخول المباشر بحساب المدير الأعلى عن بعد.
٤. جدار الحماية
السيرفر يجب ألا يفتح للعالم إلا المنافذ التي يحتاجها فعلًا: منفذ الويب لموقع، ومنفذ الدخول الإداري. كل ما عدا ذلك يُغلق. وقاعدة البيانات تحديدًا لا يجب أن تكون مفتوحة على الإنترنت أبدًا، بل تتصل بها التطبيقات من داخل السيرفر أو من شبكة خاصة. وإن أمكن، نقيّد منفذ الدخول الإداري بعناوين المكتب أو باتصال آمن.
٥. منع محاولات التخمين
أداة بسيطة تراقب السجلات وتحظر مؤقتًا أي عنوان يفشل في الدخول عدة مرات متتالية. هذه الأداة تقلل الضجيج في السجلات بشكل كبير، وتحمي الخدمات الأخرى مثل لوحات التحكم وصفحات الدخول في المواقع.
٦. حذف ما لا تحتاجه
كل برنامج مثبت هو باب محتمل. نراجع الخدمات التي تعمل ونوقف ما لا يُستخدم. والقاعدة نفسها تنطبق على المستخدمين القدامى والمفاتيح القديمة: إذا غادر شخص الفريق، يُحذف مفتاحه في اليوم نفسه.
٧. الشهادة الأمنية
أي موقع أو لوحة تحكم يجب أن تعمل عبر اتصال مشفر بشهادة أمنية. الشهادات المجانية متاحة وتتجدد تلقائيًا، فلا عذر لتركها. ونضبط التجديد التلقائي ونتأكد أنه يعمل، لأن انتهاء الشهادة يعرض للزوار رسالة تحذير مخيفة.
٨. الأسرار خارج الكود
كلمات مرور قواعد البيانات ومفاتيح الخدمات الخارجية يجب ألا تُكتب في الكود ولا تُرفع إلى مستودع الكود. تُحفظ في ملفات إعدادات خاصة بصلاحيات محدودة، أو في أدوات مخصصة لإدارة الأسرار. ورأينا حالات كثيرة رُفعت فيها كلمة مرور قاعدة البيانات إلى مستودع عام بالخطأ.
٩. النسخ الاحتياطي من اليوم الأول
لا تنتظر حتى يمتلئ السيرفر بالبيانات. اضبط النسخ الاحتياطي الآلي منذ البداية، إلى تخزين خارج السيرفر، واختبر الاسترجاع مرة على الأقل. شرحنا ذلك في مقال النسخ الاحتياطي لقواعد البيانات.
١٠. المراقبة والسجلات
نضبط مراقبة تنبّه إذا توقف السيرفر أو امتلأ القرص أو ارتفعت الأخطاء، ونرسل السجلات المهمة إلى مكان خارجي، لأن من يخترق سيرفرًا يحاول غالبًا مسح آثاره من سجلاته. وجود نسخة من السجلات خارج السيرفر يساعد في فهم ما حدث.
بعد الساعة الأولى
التأمين ليس حدثًا بل عادة. نراجع السيرفرات التي نديرها دوريًا: هل التحديثات تعمل؟ هل هناك مستخدمون لا نعرفهم؟ هل النسخ الاحتياطي ناجح؟ هل ظهرت منافذ مفتوحة جديدة؟ وكل تغيير في السيرفر يُوثّق، ويفضّل أن يتم عبر أدوات آلية لا يدويًا، كما شرحنا في مقال ما هو DevOps.
قائمة مختصرة للطباعة
- حدّث النظام وفعّل التحديثات الأمنية التلقائية.
- أنشئ مستخدمين بأسمائهم وعطّل الدخول المباشر للمدير.
- استخدم المفاتيح وعطّل كلمات المرور.
- أغلق كل المنافذ إلا الضروري.
- فعّل حظر محاولات التخمين.
- احذف الخدمات والمستخدمين غير الضروريين.
- فعّل الشهادة الأمنية وتجديدها.
- أخرج الأسرار من الكود.
- اضبط النسخ الاحتياطي واختبره.
- اضبط المراقبة وانسخ السجلات خارجيًا.
إذا كان لديك سيرفر لا تعرف هل أُمّن بشكل صحيح، نقدّم مراجعة أمنية شاملة. اطّلع على خدمة تجهيز السيرفرات أو تواصل معنا.
