پایه
قیمت پس از بررسی
- SSH
- فایروال
- fail2ban
امنیت و ریکاوری
امن سازی سرور لینوکس: SSH، فایروال، fail2ban و به روزرسانی
سرور لینوکس تازه نصب شده معمولا با تنظیمات پیش فرض و ورود با رمز ارائه می شود و همین آن را هدف ساده ای می کند. تیم فنی پیکوهاست سرور شما را بررسی و سخت سازی می کند و فهرست تغییرها را تحویل می دهد.
در یک نگاه
امن سازی سرور لینوکس یعنی کم کردن راه های ورود به سرور: ورود SSH با کلید، بستن ورود مستقیم root، فایروال، fail2ban، به روزرسانی و بستن سرویس های بی مصرف. تیم فنی پیکوهاست این تنظیمات را روی VPS یا سرور اختصاصی شما انجام می دهد و مستند می کند.
سطح های خدمت
دامنه کار را با توجه به وضعیت سرور شما انتخاب می کنیم؛ قیمت هر سطح بعد از بررسی گفته می شود.
استاندارد
قیمت پس از بررسی
- SSH
- فایروال
- fail2ban
- به روزرسانی
- سرویس ها
- cPanel و WHM
کامل
قیمت پس از بررسی
- SSH
- فایروال
- fail2ban
- به روزرسانی
- سرویس ها
- cPanel و WHM
- CloudLinux
- دسترسی ها
چه کارهایی انجام می شود
SSH
ورود با کلید عمومی و خصوصی، غیرفعال کردن ورود با رمز بعد از تست کلید، بستن ورود مستقیم root، ایجاد کاربر عادی با sudo
فایروال
تنظیم CSF، ufw یا iptables، باز گذاشتن فقط پورت هایی که لازم است
fail2ban
فعال کردن jail برای SSH و سرویس های دیگر مثل Apache، Nginx و ایمیل، به اندازه ای که سرور شما دارد
به روزرسانی
به روزرسانی بسته های سیستم و، در صورت نیاز، تنظیم به روزرسانی امنیتی خودکار
سرویس ها
بررسی پورت های باز و سرویس های در حال اجرا و غیرفعال کردن موارد غیرضروری، با هماهنگی شما
cPanel و WHM
بررسی تنظیمات امنیتی WHM، محدود کردن دسترسی ها، بررسی Tweak Settings و نسخه PHP در حد امکان
CloudLinux
اگر CloudLinux دارید، بررسی CageFS، محدودیت منابع و تنظیمات PHP Selector
دسترسی ها
مرور حساب های کاربری، کلیدهای SSH، cron jobها و حساب های FTP
چه زمانی به این خدمت نیاز دارید
- سرور تازه خریداری یا نصب شده و هنوز فقط با رمز root وارد آن می شوید.
- در لاگ SSH (مثلا
/var/log/auth.logدر Ubuntu و Debian یا/var/log/secureدر AlmaLinux) تعداد زیادی تلاش ناموفق ورود می بینید. - سایت یا سرور قبلا هک شده و می خواهید راه ورود مهاجم بسته شود. در این مورد پاکسازی هک سایت هم لازم است.
- سرور بسته های قدیمی دارد و مدت زیادی به روزرسانی نشده است.
- پورت های زیادی باز است و نمی دانید هر کدام برای چه سرویسی است.
- چند نفر به سرور دسترسی دارند و فهرست دقیقی از حساب ها وجود ندارد.
مراحل کار
- ۱
مشخصات سرور را بررسی می کنیم: توزیع، نسخه، پنل (cPanel، Plesk یا بدون پنل)، سرویس های فعال و سایت هایی که روی آن اجرا می شوند.
- ۲
فهرست تغییرهای پیشنهادی را با شما هماهنگ می کنیم، مخصوصا موردهایی که می تواند روی سرویس فعلی اثر بگذارد، مثل تغییر پورت SSH یا بستن یک پورت.
- ۳
یک جلسه SSH باز نگه می داریم و تغییرها را به ترتیب اعمال می کنیم. اول کلید SSH و کاربر جدید را تست می کنیم و بعد ورود با رمز را می بندیم.
- ۴
فایروال و fail2ban را تنظیم می کنیم و بعد از هر مرحله دسترسی سایت ها و سرویس ها را دوباره بررسی می کنیم.
- ۵
به روزرسانی ها را اجرا می کنیم و در صورت نیاز سرویس ها را ری استارت می کنیم. ری استارت را با هماهنگی زمان با شما انجام می دهیم.
- ۶
فهرست تغییرها را همراه روش برگرداندن هر کدام تحویل می دهیم.
چه چیزی از شما لازم داریم
- آدرس IP سرور، نوع توزیع و پنل مدیریتی، و اینکه چه سایت یا سرویسی روی آن اجرا می شود.
- دسترسی root یا یک کاربر با دسترسی sudo. رمز را در متن تیکت نفرستید. دسترسی از طریق فیلدهای خصوصی تیکت یا یک حساب موقت که بعد از پایان کار حذف می شود داده می شود.
- فهرست IPهایی که باید همیشه دسترسی داشته باشند، مثل IP دفتر یا سرور مانیتورینگ.
- زمان مناسب برای ری استارت یا بازگردانی سرویس ها.
- نسخه پشتیبان اخیر. پیش از تغییرات بزرگ بهتر است از بکاپ گیری و ریکاوری سرور استفاده کنید.
چه چیزی تحویل می دهید و چه چیزی تضمین نمی شود؟
بعد از پایان کار، فهرستی از همه تغییرها، مسیر فایل های پیکربندی که ویرایش شده اند و روش برگرداندن هر تغییر را دریافت می کنید. اگر موردی را به دلیل وابستگی سرویس ها اعمال نکرده باشیم، دلیلش را هم می نویسیم.
محدودیت ها را باید بدانید:
- سخت سازی سرور احتمال نفوذ را کم می کند، ولی ایمن بودن سرور را ثابت نمی کند. آسیب پذیری در برنامه ها، افزونه ها و رمزهای ضعیف سایت ها از دایره این خدمت خارج است.
- امنیت سرور به روزرسانی مداوم نیاز دارد. تنظیم امروز فقط تا وقتی مفید است که بسته ها و سایت ها به روز بمانند.
- بعضی تغییرها ممکن است با نرم افزار قدیمی یا سفارشی شما سازگار نباشد. در این حالت تغییر را اعمال نمی کنیم یا نسخه ساده تری را پیشنهاد می دهیم.
- روی هاست اشتراکی دسترسی root وجود ندارد و بیشتر این کارها به تنظیمات خود هاست و سایت محدود می شود.
برای تنظیمات فایروال و محدود کردن درخواست ها به صورت جداگانه، خدمت تنظیم فایروال سرور را ببینید. اگر نگهداری مداوم سرور هم می خواهید، مدیریت سرور را بررسی کنید.
سوالات پرتکرار
آیا بعد از غیرفعال شدن ورود با رمز خودم قفل می شوم؟
اگر کلید SSH پیش از غیرفعال کردن رمز تست نشود، بله ممکن است. به همین دلیل همیشه یک جلسه باز نگه می داریم و ورود با کلید را از یک پنجره جدید آزمایش می کنیم، بعد ورود با رمز را می بندیم.
تغییر پورت SSH لازم است؟
لازم نیست. تغییر پورت فقط تعداد تلاش های خودکار در لاگ را کم می کند و جای کلید SSH و فایروال را نمی گیرد. اگر بخواهید، انجامش می دهیم و فایروال را هم هماهنگ می کنیم.
روی سرور cPanel هم همین کارها قابل انجام است؟
بله، ولی با دقت بیشتر. cPanel بعضی سرویس ها و فایل های پیکربندی را خودش مدیریت می کند و ویرایش مستقیم آن ها ممکن است با به روزرسانی بعدی برگردد. به همین دلیل تغییرها را تا حد ممکن از راه WHM و ابزارهایی مثل CSF انجام می دهیم. مستندات رسمی را در docs.cpanel.net ببینید.
آیا بعد از سخت سازی لازم است سرور را ری استارت کنید؟
فقط اگر هسته به روز شده باشد یا سرویس مهمی تغییر کرده باشد. زمان ری استارت را از شما می پرسیم و سایت ها را بعد از بالا آمدن سرور بررسی می کنیم.
فرق این خدمت با مدیریت سرور چیست؟
امن سازی یک کار مشخص است که یک بار انجام می شود و با فهرست تغییرها تحویل داده می شود. مدیریت سرور نگهداری مداوم است و جزئیات آن در صفحه همان خدمت آمده است.