قائمة تصليب خادم لينكس للوكالات بعد التسليم

لماذا يغيّر الدليل المقنَّن كل شيء للوكالة

ما يضيفه هذا الدليل لوكالتك

• قابلية التكرار: يتبع كل تقني نفس الخطوات بالضبط، بنفس الترتيب، في كل خادم VPS جديد.
• إمكانية التتبع: يسجّل‏ auditd‏ من فعل ماذا، ومتى، وأي أمر — دليل قابل للحفظ في حالات الحوادث أو مراجعات العملاء.
• التفويض الآمن: يستطيع التقني المبتدئ تسليم خادم مُصلَّب دون ارتجال، لأن الدليل يحتوي القرارات نيابةً عنه.
• الدفاع التعاقدي: بند الأمان في عقد الصيانة لا يمكن الاحتجاج به إلا بسجل تنفيذ مؤرخ.
• تقليص سطح الهجوم: تُزيل القائمة الإهمالات الكلاسيكية — SSH للمستخدم root مفتوح، auditd غير مفعّل — وهي نقاط الدخول الأكثر استغلالًا.
• الاتساق بين العملاء: نفس القاعدة الأمنية للجميع، مع فوارق فقط حيثما يستلزم ذلك مواصفات العميل.

المتطلبات الأساسية ونطاق القائمة

الكتلة 1 — التحديثات والجرد الأولي

1. 01

   تحديث النظام وإعداد الجرد

   أول إجراء بعد تسجيل الدخول كـ‏root‏ هو رفع النظام إلى مستوى التصحيحات الحالية.

   apt update && apt upgrade -y
   apt install -y auditd audispd-plugins curl gnupg2 ufw fail2ban

   سجّل في دليل التشغيل: التاريخ وإصدار النواة (uname -r) وقائمة الحزم المثبتة (dpkg -l > /root/inventory-$(date +%F).txt). يُشكّل ملف الجرد هذا خط الأساس للخادم عند التسليم — وهو الوثيقة التي تقدمها إذا أبدى عميل اعتراضًا على الحالة الأولية لجهازه.

   مرجع CIS Benchmark: التحكم CIS 1.1 (Ubuntu Linux 24.04 LTS Benchmark، قسم «الإعداد الأولي»).

2. 02

   تفعيل التحديثات الأمنية التلقائية

   apt install -y unattended-upgrades
   dpkg-reconfigure --priority=low unattended-upgrades

   تحقق من أن السطر Unattended-Upgrade::Allowed-Origins يتضمن ${distro_id}:${distro_codename}-security. لمحفظة العملاء، فعّل التحديثات التلقائية وجدوِل مراجعة شهرية للتحديثات غير الأمنية — تستلزم موافقة بشرية.

   مرجع CIS: التحكم CIS 1.9 (ضمان تثبيت التحديثات والتصحيحات والبرامج الأمنية الإضافية).

الكتلة 2 — مستخدم sudo وإغلاق root

1. 03

   إنشاء حساب مخصص للإدارة

   لا تستخدم root للمهام اليومية. أنشئ حسابًا اسميًا لكل تقني أو حساب خدمة للوكالة:

   useradd -m -s /bin/bash adminagency
   usermod -aG sudo adminagency
   passwd adminagency

   نصيحة للوكالة: استخدم اسم حساب يمكن تمييزه في السجلات (jean.dupont أو agency-admin)، لا اسمًا عامًا مثل admin. حين يتتبع auditd إجراءً ما، يُسجَّل الحساب المُنفِّذ — الاسم العام يُفقد المراجعة قيمتها.

2. 04

   تعطيل تسجيل دخول root عبر SSH

   sed -i 's/^#\?PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config
   grep PermitRootLogin /etc/ssh/sshd_config

   تنبيه: لا تُعد تحميل sshd إلا بعد التحقق من قدرة مستخدم sudo على الاتصال وتنفيذ sudo su. وإلا ستُقفل نفسك خارج الخادم.

   مرجع CIS: التحكم CIS 5.2.8 (ضمان تعطيل تسجيل دخول root عبر SSH).

الكتلة 3 — المصادقة بمفتاح SSH

1. 05

   نشر المفتاح العمومي للوكالة

   mkdir -p /home/adminagency/.ssh
   chmod 700 /home/adminagency/.ssh
   echo "<AGENCY_PUBLIC_KEY>" >> /home/adminagency/.ssh/authorized_keys
   chmod 600 /home/adminagency/.ssh/authorized_keys
   chown -R adminagency:adminagency /home/adminagency/.ssh

   نصيحة للوكالة: احتفظ بمستودع مفاتيح عمومية بإصدارات (ملف واحد لكل تقني، تجديد سنوي). كل مفتاح يُنشر على VPS عميل يجب أن يكون مرجعًا في هذا المستودع — هذا ما يُتيح لك إلغاء وصول شخص غادر الفريق.

2. 06

   تعطيل المصادقة بكلمة المرور

   بعد التحقق من المفتاح (اختبر من طرفية أخرى قبل التأكيد):

   sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
   sed -i 's/^#\?ChallengeResponseAuthentication.*/ChallengeResponseAuthentication no/' /etc/ssh/sshd_config
   systemctl reload sshd

   مرجع CIS: التحكم CIS 5.2.19 (ضمان تعطيل المصادقة بكلمة المرور في SSH).

الكتلة 4 — جدار الحماية UFW

1. 07

   تهيئة UFW بسياسة الرفض الافتراضي

   ufw default deny incoming
   ufw default allow outgoing
   ufw allow 22/tcp comment 'Agency SSH'
   ufw allow 80/tcp comment 'HTTP'
   ufw allow 443/tcp comment 'HTTPS'
   ufw --force enable
   ufw status verbose

   افتح فقط المنافذ التي يستخدمها مشروع العميل فعليًا. إذا لم يستخدم تطبيق العميل منفذ بريد إلكتروني مباشر، لا تفتحه.

   للتفاصيل الكاملة عن fail2ban وخيارات UFW المتقدمة، راجع المقالين: حماية VPS باستخدام fail2ban وجدار الحماية UFW على VPS.

   مرجع CIS: التحكم CIS 3.5.1 (ضمان تثبيت حزمة جدار الحماية).

الكتلة 5 — fail2ban

1. 08

   تفعيل fail2ban مع سجن SSH

   cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

   حرِّر /etc/fail2ban/jail.local واضبط قسم [sshd]:

   [sshd]
   enabled = true
   maxretry = 5
   findtime = 600
   bantime = 3600

   systemctl enable fail2ban
   systemctl start fail2ban
   fail2ban-client status sshd

   لمحفظة العملاء، يُنصح بالنظر في CrowdSec كبديل أو مكمّل: قائمة الحجب المجتمعية تجمع معلومات آلاف الخوادم.

الكتلة 6 — auditd: سجل التتبع

1. 09

   تفعيل auditd وتهيئة القواعد الأساسية

   auditd هو المكوّن الذي تنساه الوكالات في أغلب الأحيان — ومع ذلك فهو الذي يوفر الدليل القابل للاحتجاج عند وقوع حادث.

   systemctl enable auditd
   systemctl start auditd

   أنشئ ملف قواعد الوكالة في /etc/audit/rules.d/agency.rules:

   # تتبع جميع عمليات رفع الصلاحيات
   -w /etc/sudoers -p wa -k sudoers_changes
   -w /etc/sudoers.d/ -p wa -k sudoers_changes
   
   # تتبع اتصالات SSH
   -w /var/log/auth.log -p wa -k auth_log
   
   # تتبع تعديلات ملفات الإعداد الأساسية
   -w /etc/ssh/sshd_config -p wa -k sshd_config
   -w /etc/passwd -p wa -k passwd_changes
   -w /etc/shadow -p wa -k shadow_changes
   
   # تتبع الأوامر المنفّذة بصلاحية root
   -a always,exit -F arch=b64 -S execve -F euid=0 -k root_commands

   augenrules --load
   auditctl -l

   مرجع CIS: التحكم CIS 4.1.1 (ضمان تفعيل المراجعة) والتحكم CIS 4.1.3 (ضمان جمع الأحداث التي تُعدّل معلومات التاريخ والوقت).

2. 10

   تصدير سجلات auditd والاحتفاظ بها

   يجب الاحتفاظ بسجلات auditd خارج الخادم لتكون قابلة للاحتجاج. هيّئ تصديرًا إلى نظامك المركزي (rsyslog أو Loki أو مزامنة rsync يومية بسيطة إلى تخزين الوكالة):

   # مثال: تصدير rsyslog إلى جامع الوكالة
   echo ':programname, isequal, "auditd" @<IP_COLLECTEUR_AGENCE>:514' \
     >> /etc/rsyslog.d/99-auditd-remote.conf
   systemctl restart rsyslog

   احتفظ بالسجلات لمدة 90 يومًا على الأقل. لا يحدد GDPR مدة احتفاظ دنيا لسجلات الأمان، لكن أُطر مثل CIS Controls v8 (التحكم 8.3) توصي بـ 90 يومًا على الأقل في الموقع وسنة في أرشيف بارد.

الكتلة 7 — التحقق النهائي وسجل التسليم

# التحقق من الخدمات النشطة
systemctl is-active ufw fail2ban auditd sshd

# التأكد أن root لا يستطيع الاتصال عبر SSH
grep PermitRootLogin /etc/ssh/sshd_config

# التحقق من قواعد UFW
ufw status verbose

# التحقق من قواعد auditd المحمّلة
auditctl -l

# مراجعة آخر عمليات تسجيل الدخول
last -n 10

دليل الوكالة مقابل التهيئة الارتجالية

مرّر الجدول أفقيًا

استكشاف الأخطاء: الأخطاء الشائعة عند تطبيق الدليل

sshd -t && systemctl reload sshd

# في /etc/apt/apt.conf.d/50unattended-upgrades
Unattended-Upgrade::Automatic-Reboot "false";

للمزيد: التحصين المتقدم والمراقبة المستمرة