قائمة تصليب خادم لينكس للوكالات بعد التسليم

أول إجراء بعد تسجيل الدخول كـ‏root‏ هو رفع النظام إلى مستوى التصحيحات الحالية.

apt update && apt upgrade -y
apt install -y auditd audispd-plugins curl gnupg2 ufw fail2ban

سجّل في دليل التشغيل: التاريخ وإصدار النواة (uname -r) وقائمة الحزم المثبتة (dpkg -l > /root/inventory-$(date +%F).txt). يُشكّل ملف الجرد هذا خط الأساس للخادم عند التسليم — وهو الوثيقة التي تقدمها إذا أبدى عميل اعتراضًا على الحالة الأولية لجهازه.

مرجع CIS Benchmark: التحكم CIS 1.1 (Ubuntu Linux 24.04 LTS Benchmark، قسم «الإعداد الأولي»).

apt install -y unattended-upgrades
dpkg-reconfigure --priority=low unattended-upgrades

تحقق من أن السطر Unattended-Upgrade::Allowed-Origins يتضمن ${distro_id}:${distro_codename}-security. لمحفظة العملاء، فعّل التحديثات التلقائية وجدوِل مراجعة شهرية للتحديثات غير الأمنية — تستلزم موافقة بشرية.

مرجع CIS: التحكم CIS 1.9 (ضمان تثبيت التحديثات والتصحيحات والبرامج الأمنية الإضافية).

لا تستخدم root للمهام اليومية. أنشئ حسابًا اسميًا لكل تقني أو حساب خدمة للوكالة:

useradd -m -s /bin/bash adminagency
usermod -aG sudo adminagency
passwd adminagency

نصيحة للوكالة: استخدم اسم حساب يمكن تمييزه في السجلات (jean.dupont أو agency-admin)، لا اسمًا عامًا مثل admin. حين يتتبع auditd إجراءً ما، يُسجَّل الحساب المُنفِّذ — الاسم العام يُفقد المراجعة قيمتها.

sed -i 's/^#\?PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config
grep PermitRootLogin /etc/ssh/sshd_config

تنبيه: لا تُعد تحميل sshd إلا بعد التحقق من قدرة مستخدم sudo على الاتصال وتنفيذ sudo su. وإلا ستُقفل نفسك خارج الخادم.

مرجع CIS: التحكم CIS 5.2.8 (ضمان تعطيل تسجيل دخول root عبر SSH).

mkdir -p /home/adminagency/.ssh
chmod 700 /home/adminagency/.ssh
echo "<AGENCY_PUBLIC_KEY>" >> /home/adminagency/.ssh/authorized_keys
chmod 600 /home/adminagency/.ssh/authorized_keys
chown -R adminagency:adminagency /home/adminagency/.ssh

نصيحة للوكالة: احتفظ بمستودع مفاتيح عمومية بإصدارات (ملف واحد لكل تقني، تجديد سنوي). كل مفتاح يُنشر على VPS عميل يجب أن يكون مرجعًا في هذا المستودع — هذا ما يُتيح لك إلغاء وصول شخص غادر الفريق.

بعد التحقق من المفتاح (اختبر من طرفية أخرى قبل التأكيد):

sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
sed -i 's/^#\?ChallengeResponseAuthentication.*/ChallengeResponseAuthentication no/' /etc/ssh/sshd_config
systemctl reload sshd

مرجع CIS: التحكم CIS 5.2.19 (ضمان تعطيل المصادقة بكلمة المرور في SSH).

ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp comment 'Agency SSH'
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'
ufw --force enable
ufw status verbose

افتح فقط المنافذ التي يستخدمها مشروع العميل فعليًا. إذا لم يستخدم تطبيق العميل منفذ بريد إلكتروني مباشر، لا تفتحه.

للتفاصيل الكاملة عن fail2ban وخيارات UFW المتقدمة، راجع المقالين: حماية VPS باستخدام fail2ban وجدار الحماية UFW على VPS.

مرجع CIS: التحكم CIS 3.5.1 (ضمان تثبيت حزمة جدار الحماية).

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

حرِّر /etc/fail2ban/jail.local واضبط قسم [sshd]:

[sshd]
enabled = true
maxretry = 5
findtime = 600
bantime = 3600

systemctl enable fail2ban
systemctl start fail2ban
fail2ban-client status sshd

لمحفظة العملاء، يُنصح بالنظر في CrowdSec كبديل أو مكمّل: قائمة الحجب المجتمعية تجمع معلومات آلاف الخوادم.

auditd هو المكوّن الذي تنساه الوكالات في أغلب الأحيان — ومع ذلك فهو الذي يوفر الدليل القابل للاحتجاج عند وقوع حادث.

systemctl enable auditd
systemctl start auditd

أنشئ ملف قواعد الوكالة في /etc/audit/rules.d/agency.rules:

# تتبع جميع عمليات رفع الصلاحيات
-w /etc/sudoers -p wa -k sudoers_changes
-w /etc/sudoers.d/ -p wa -k sudoers_changes

# تتبع اتصالات SSH
-w /var/log/auth.log -p wa -k auth_log

# تتبع تعديلات ملفات الإعداد الأساسية
-w /etc/ssh/sshd_config -p wa -k sshd_config
-w /etc/passwd -p wa -k passwd_changes
-w /etc/shadow -p wa -k shadow_changes

# تتبع الأوامر المنفّذة بصلاحية root
-a always,exit -F arch=b64 -S execve -F euid=0 -k root_commands

augenrules --load
auditctl -l

مرجع CIS: التحكم CIS 4.1.1 (ضمان تفعيل المراجعة) والتحكم CIS 4.1.3 (ضمان جمع الأحداث التي تُعدّل معلومات التاريخ والوقت).

يجب الاحتفاظ بسجلات auditd خارج الخادم لتكون قابلة للاحتجاج. هيّئ تصديرًا إلى نظامك المركزي (rsyslog أو Loki أو مزامنة rsync يومية بسيطة إلى تخزين الوكالة):

# مثال: تصدير rsyslog إلى جامع الوكالة
echo ':programname, isequal, "auditd" @<IP_COLLECTEUR_AGENCE>:514' \
  >> /etc/rsyslog.d/99-auditd-remote.conf
systemctl restart rsyslog

احتفظ بالسجلات لمدة 90 يومًا على الأقل. لا يحدد GDPR مدة احتفاظ دنيا لسجلات الأمان، لكن أُطر مثل CIS Controls v8 (التحكم 8.3) توصي بـ 90 يومًا على الأقل في الموقع وسنة في أرشيف بارد.