قائمة تحقق أمان VPS: 12 خطوة لتحصين خادم جديد

قائمة تحقق أمان VPS هي مجموعة الخطوات التي تطبقها على كل خادم جديد قبل أن تضع عليه أي شيء مهم: إغلاق SSH، وتفعيل جدار ناري، وإبقاء النظام محدّثًا، وتقليل ما يعمل عليه، والتأكد من قدرتك على الاستعادة. تبدأ الروبوتات الآلية بفحص عناوين IP الجديدة خلال دقائق، لذا فإن الساعة الأولى أهم من أي ضبط لاحق.

تفترض الخطوات التالية خادم VPS بنظام لينكس مثل Ubuntu أو Debian مع صلاحية root. الأوامر أمثلة؛ عدّلها حسب توزيعتك. نفّذها بالترتيب وأبقِ جلسة SSH ثانية مفتوحة أثناء تغيير إعدادات الدخول، حتى لا يقفل خطأ ما الباب في وجهك.

لماذا يحتاج VPS الجديد إلى تحصين؟

يمنحك الخادم الافتراضي الخاص تحكمًا كاملًا، وهذا يعني أيضًا مسؤولية كاملة. على عكس الاستضافة المشتركة، لا أحد يرقّع حزمك أو يراقب عمليات دخولك. معظم الاختراقات الحقيقية ليست ثغرات ذكية بل أخطاء بسيطة: كلمات مرور SSH ضعيفة، أو تطبيق ويب قديم، أو منفذ قاعدة بيانات مكشوف، أو خدمة اختبار منسية.

الساعة الأولى: 8 خطوات أساسية

1. حدّث كل شيء — شغّل apt update && apt upgrade (أو ما يقابله في توزيعتك) وأعد التشغيل إذا تغيّرت النواة.
2. أنشئ مستخدمًا غير root — أضف مستخدمًا بصلاحيات sudo واستخدمه في العمل اليومي بدل root.
3. استخدم مفاتيح SSH — أنشئ زوج مفاتيح على حاسوبك وانسخ المفتاح العام إلى الخادم باستخدام ssh-copy-id.
4. عطّل الدخول بكلمة المرور وroot — في /etc/ssh/sshd_config اضبط PasswordAuthentication no وPermitRootLogin no، ثم أعد تشغيل SSH بعد اختبار الدخول بالمفتاح في جلسة ثانية.
5. فعّل جدارًا ناريًا — مع ufw اسمح بما تحتاجه فقط، مثل ufw allow OpenSSH وufw allow 80,443/tcp، ثم ufw enable.
6. فعّل تحديثات الأمان التلقائية — على Debian/Ubuntu ثبّت unattended-upgrades وفعّله.
7. ثبّت fail2ban — يحظر عناوين IP التي تفشل في الدخول مرارًا، فيبطئ هجمات التخمين.
8. اضبط المنطقة الزمنية واسم المضيف — الطوابع الزمنية الصحيحة تجعل السجلات والشهادات موثوقة.

تحصين مستمر: 4 خطوات إضافية

1. أزل ما لا تستخدمه — احذف الحزم غير الضرورية وأوقف الخدمات التي لا تحتاجها. افحص المنافذ المفتوحة باستخدام ss -tulpn.
2. أبقِ قواعد البيانات خاصة — اربط MySQL أو PostgreSQL أو Redis بالعنوان 127.0.0.1 أو بشبكة خاصة، ولا تعرضها للإنترنت العام أبدًا.
3. انسخ احتياطيًا خارج الخادم — انقل النسخ إلى موقع آخر واختبر الاستعادة. اللقطة على الجهاز نفسه ليست نسخة احتياطية.
4. راقب السجلات والموارد — راجع سجلات المصادقة، واضبط تنبيهات بسيطة للتوفر ومساحة القرص، وتحقق من أي ارتفاع مفاجئ في المعالج.

القائمة في لمحة

تأمين طبقة الويب

إذا كان الخادم يستضيف موقعًا، فالتطبيق غالبًا هو الحلقة الأضعف. حدّث نظام إدارة المحتوى والإضافات وأطر العمل باستمرار، واستخدم HTTPS بشهادة مجانية، وشغّل كل موقع بمستخدم نظام خاص به حتى لا يتمكن موقع مخترق من قراءة المواقع الأخرى. أضف سجل CAA إلى نطاقك ليقتصر إصدار الشهادات على الجهة التي تختارها، ووجّه النطاق بشكل صحيح باستخدام دليلنا عن توجيه النطاق إلى VPS.

احفظ الأسرار مثل مفاتيح API وكلمات مرور قواعد البيانات في ملفات بيئة بصلاحيات مقيدة، ولا تضعها أبدًا في مجلد ويب عام أو مستودع Git.

الوصول للفرق وعدة مسؤولين

نادرًا ما يبقى الخادم لمستخدم واحد طويلًا. بمجرد أن يحتاج زميل أو مستقل أو أداة نشر إلى الوصول، تصبح طريقة توزيع بيانات الدخول جزءًا من أمانك.

• مفتاح لكل شخص — لكل مسؤول حسابه ومفتاح SSH الخاص به. لا تشارك أبدًا كلمة مرور root أو مفتاحًا واحدًا بين الفريق.
• مفاتيح منفصلة للأتمتة — تحصل خطوط CI ومهام النسخ الاحتياطي على مفاتيح خاصة مقيدة بالأوامر أو المجلدات التي تحتاجها.
• اسحب الوصول في اليوم نفسه — عندما يغادر شخص المشروع، احذف مستخدمه ومفتاحه فورًا. راجع ملفات authorized_keys كل ربع سنة.
• سجّل الإجراءات المميزة — يسجل sudo من نفّذ ماذا، مما يسهّل كثيرًا تتبع الأخطاء والحوادث.
• احمِ لوحة التحكم أيضًا — حسابك لدى المزوّد يمكنه إعادة تثبيت الخادم أو حذفه؛ استخدم كلمة مرور قوية فريدة والتحقق بخطوتين إن توفر.

ماذا تفعل إذا اشتبهت في اختراق؟

• لا تحذف الأدلة فورًا؛ خذ لقطة أو انسخ السجلات أولًا.
• غيّر كل كلمات المرور ومفاتيح SSH التي تعاملت مع الخادم.
• ابحث عن مستخدمين ومهام cron ومفاتيح SSH وعمليات غير معروفة.
• عند الشك، أعد البناء من صورة نظيفة واستعد البيانات من نسخة احتياطية سابقة للحادث.

أساس آمن مع VPS من mistREG

تقدم mistREG خوادم VPS بتقنية KVM في سلوفينيا (الاتحاد الأوروبي) على أقراص NVMe SSD ومعالجات AMD EPYC. تمنح KVM كل خادم نواته الخاصة، فتستطيع استخدام أي جدار ناري أو إعدادات نواة أو أدوات أمان تريدها. التجهيز تلقائي: بعد نحو 60 ثانية من الدفع يظهر عنوان IP وكلمة مرور root في لوحتك، جاهزين لهذه القائمة. اعرف المزيد في دليل استضافة VPS الخارجية.

أنشئ حسابًا، واشحن رصيدك بالعملات الرقمية أو البطاقة، واختر خادمًا من قسم الخطط. لديك أسئلة؟ فريقنا على Telegram عبر @mistnetwork.