لماذا الأمر عاجل
الخادم المكشوف على الإنترنت يتلقى محاولات اتصال آلية في الساعات التي تلي وضعه على الشبكة. هذه الهجمات لا تستهدف مشروعك بعينه: إنها تمسح مجموع عناوين IPv4 بحثاً عن كلمة مرور ضعيفة.
1. المصادقة بمفتاح SSH
ولّد زوج مفاتيح على جهازك، ثم ضع المفتاح العمومي في ~/.ssh/authorized_keys على الخادم. جرّب الاتصال بالمفتاح قبل تعطيل كلمات المرور — فهذا هو الخطأ الكلاسيكي الذي يؤدي إلى إغلاق الباب على نفسك.
2. تعطيل اتصال root والاتصال بكلمة مرور
في /etc/ssh/sshd_config:
PermitRootLogin no PasswordAuthentication no
ثم systemctl restart ssh. أبقِ وحدة تحكم VNC مفتوحة أثناء العملية.
3. مستخدم غير مميز لكل شخص
يجب أن يكون لكل مسؤول حسابه الخاص، مع sudo. الحسابات المشتركة تجعل أي تحقيق مستحيلاً بعد حادث.
4. تحديثات أمنية تلقائية
apt install unattended-upgrades dpkg-reconfigure --priority=low unattended-upgrades
5. جدار حماية أدنى
لا تفتح إلا ما يخدم: SSH وHTTP وHTTPS. وكل ما عدا ذلك يجب أن يكون مغلقاً افتراضياً، بما في ذلك منافذ قواعد البيانات التي لا ينبغي أبداً كشفها للعموم.
6. الحماية من القوة الغاشمة
ثبّت fail2ban: يحظر مؤقتاً العناوين التي تكرر فشل المصادقة. مع المصادقة بالمفتاح، يصبح حاجزاً ثانياً بدل أن يكون الحصن الوحيد.
7. رفض اتصالات root بالخدمات
قواعد البيانات ولوحات الإدارة وواجهات التخزين المؤقت: لكل منها مستخدموه الخاص، بالصلاحيات اللازمة فقط. الموقع المخترق يجب ألا يصبح خادماً مخترقاً.
8. المراقبة والنسخ الاحتياطي
نسخة احتياطية غير مُختبَرة ليست نسخة احتياطية. استعد منها مرة للتأكد من أنها تعمل. راجع /var/log/auth.log بانتظام: محاولات التسلل تظهر فيه قبل أن تنجح.
ما نقوم به من جانبنا
البنية التحتية محمية (عزل KVM، حماية DDoS، شبكة مفلترة). أما أمن نظام التشغيل فعلى عاتقك: وهذا هو جوهر مبدأ VPS. دعمنا يساعدك بكل سرور إن كان لديك شك في إعداد ما.
