قائمة تحقق عملية لخادم VPS جديد: مصادقة SSH بالمفتاح وجدار الحماية والتحديثات الأمنية التلقائية والمراقبة - هذا الحد الأدنى نطبقه على كل خادم إيجي ماس.
الخطوات الأمنية السبع التي يجب أن تتوفر في كل خادم VPS هي: مصادقة SSH بالمفتاح، وجدار حماية للمضيف، وتحديثات أمنية تلقائية، وحماية ضد هجمات التجزئة على غرار fail2ban، و TLS في كل مكان، ونسخ احتياطية آلية يومية، ومراقبة تنبهك عند حدوث خطأ ما.
تسجيل الدخول بكلمة المرور هو أكثر خدمة تتعرض للهجوم على الإنترنت. عطِّل مصادقة كلمة المرور ودخول root عبر SSH، واطلب مفتاحاً - يُفضَّل مفتاح ed25519 محمياً بعبارة مرور، تُنشئه بأمر ssh-keygen وتنسخه إلى الخادم عبر ssh-copy-id. القاعدة التي تُنقذك من قصة الإغلاق خارج الخادم: اترك جلستك الحالية مفتوحة، وعدِّل ملف sshd_config لتضبط PasswordAuthentication no و PermitRootLogin prohibit-password، ثم اتصل من طرفية ثانية وتأكد أن المفتاح يعمل. عندها فقط يجوز إغلاق الجلسة الأولى. أخيراً، عامل المفتاح كمفتاح المنزل: نسخة على حاسوبك ونسخة احتياطية غير متصلة بالشبكة، ومسار استرجاع موثَّق - لأن فقدان المفتاح دون بديل يعني تذكرة دعم وإعادة تثبيت قسرية.
افتح فقط المنافذ التي تحتاجها الخدمة فعلاً - عادة SSH و HTTP و HTTPS - وارفض كل شيء آخر افتراضياً: كل حزمة واردة تُرفض ما لم تسمح بها قاعدة صريحة، بينما يُسمح بالحركة الصادرة. طبِّق نفس القواعد على IPv6، فهذا ليس تفصيلاً ثانوياً - الخادم الذي يُرشِّح IPv4 فقط يبقى قابلاً للوصول بالكامل عبر مجموعته الثانية. واجعل القواعد دائمة حتى لا يصبح الخادم مكشوفاً تماماً بعد إعادة التشغيل. الفخ الكلاسيكي هو تفعيل جدار الحماية دون السماح لمنفذ SSH الذي تتصل منه: عند أول حزمة محجوبة تجد نفسك مقفولاً خارجاً تماماً كمن فقد المفتاح - لذا سمح بذلك المنفذ أولاً وتحقق من جلسة ثانية قبل الحفظ.
فعِّل التحديثات التلقائية غير المراقَبة لترقيعات الأمان حتى يتم إصلاح ثغرة CVE خلال ساعات بدلاً من أسابيع. التحديثات على مستوى الحزم هي التي يجب ألا تنتظر إنساناً أبداً؛ أما الجزء الوحيد الذي يستحق الجدولة المتعمدة فهو تحديث النواة، إذ يتطلب إعادة تشغيل ليُطبَّق - اختر نافذة صيانة، أو استخدم التصحيح الحي إذا كانت التوزيعة تدعمه. عادتان تجعلان التحديثات التلقائية آمنة بدل أن تكون مرعبة: اقرأ سجل التحديثات بانتظام لتظهر الأعطال الصامتة بدل أن تتراكم، وراقب الحزم المثبَّتة يدوياً أو المعلَّقة، لأن حزمة مثبَّتة عليها ثغرة لن تُصلح نفسها بنفسها. تأخير التحديثات الأمنية أسبوعاً هو كيف تصبح الخوادم الصغيرة جزءاً من شبكات البوتات الكبيرة.
تحاول البوتات اختراق SSH وصفحات الدخول على مدار الساعة. مع اعتماد مفاتيح SSH فقط، أصبح اختراق منفذ SSH بالمحاولة العمياء طريقاً مسدوداً - وهذا بالضبط سبب انتقال البوتات إلى الأسطح التي ما زالت مفتوحة: لوحات تسجيل الويب ولوحات الإدارة والبريد. شغِّل أداة مثل fail2ban أو مُقيِّد معدل مماثل يحظر محاولات الفشل المتكررة لمدة كافية لتجعل التخمين مكلفاً بلا جدوى، ودَعها تُغذِّي جدار الحماية حتى تصبح عمليات الحظر قواعد حقيقية لا أسطراً في السجل. أضف تحديد المعدل و WAF أمام تطبيقات الويب لتصفية الطلبات الخبيثة قبل وصولها إلى الكود. قِس الأمر مرة شهرياً: إذا أنتج عنوان IP واحد آلاف محاولات الدخول الفاشلة أمس، فالحارس يؤدي عمله.
أنهِ TLS 1.3 أمام خدماتك - كحد أدنى 1.2 ولا شيء أقدم أبداً - مع تشفيرات حديثة قوية، وأعد توجيه كل طلب HTTP إلى HTTPS حتى لا يُسلِّم عنوان مكتوب خطأً بيانات الاعتماد للشبكة. أضف HSTS بعد أن يعمل التوجيه لفترة، فيوقف انخفاض المستوى عند أول زيارة تماماً. أدر الشهادات بعميل ACME آلي، مع فحص التجديد يومياً وتصدير تاريخ الانتهاء إلى المراقبة: الشهادة التي تتجدد بهدوء يمكنها أن تفشل بهدوء أيضاً، والشهادة المنتهية هي الانقطاع الوحيد الذي يراه الزوار قبل أي لوحة تحكم لديك. التجديد يجب ألا يكون تذكيراً في التقويم يتحول بهدوء إلى حادثة.
النسخة الاحتياطية التي لم تسترجعها أبداً ليست نسخة احتياطية - بل أمل. أتمت اللقطات اليومية لما يُعيد بناء الخدمة فعلاً: تصدير قاعدة البيانات وملفات الإعدادات وملفات المستخدمين، وليس القرص كله فقط. احتفظ بنسخ خارج الخادم ويفضَّل خارج الموقع أيضاً، فهذا هو الفرق بين عطل في القطعة وصباح سيء، واضبط سياسة احتفاظ لتنظف النسخ القديمة نفسها بدل أن تملأ القرص الذي تراقبه في الخطوة السابعة. شفِّر كل ما يغادر الخادم. ثم أثبت ذلك: مرة كل ثلاثة أشهر، استرجع في بيئة تجريبية وتأكد أن الخدمة تعود فعلاً - لأن النسخة الفاسدة بصمت ستفشل في اليوم الذي تحتاجها فيه، وهو أسوأ وقت لتكتشف ذلك.
لا يمكنك الاستجابة لحادثة لم تسمع عنها أبداً. راقب القرص والذاكرة و CPU وصحة كل خدمة، وتنبَّه على الاتجاه لا على الحالة الثنائية: قرص عند 85 بالمائة وينمو هو تنبيه، بينما قرص يجلس عند 85 بالمائة سنة كاملة ليس كذلك. أضف إليها الأشياء التي تتعطل بهدوء - تواريخ انتهاء الشهادات، وأعمال النسخ التي توقفت، ومحاولات الدخول الفاشلة التي ترتفع فجأة، والتحديثات الأمنية التي توقفت عن التطبيق - لأنها الحوادث التي ستكتشفها وإلا من رسالة عميل. وجِّه التنبيهات إلى قناة يقرأها أحد فعلاً، مع قاعدة تصعيد لليالي وعطلات نهاية الأسبوع. الهدف أن تعرف أن القرص كاد يمتلئ قبل أن يُسقط قاعدة البيانات معه.
مفاتيح SSH وجدار الحماية أولاً - فهي الأرخص وتوقف أكثر الهجمات شيوعاً - ثم التحديثات التلقائية ثم fail2ban. أما TLS والنسخ الاحتياطية والمراقبة فيمكن أن تتبع، لكن لا ينبغي أن يتأخر أي منها أكثر من أسبوع على خادم مكشوف للإنترنت.
هذا الحد الأدنى. الإنتاج يحتاج أيضاً طبقة WAF/IDS في الأمام، وإجراء استرجاع مُختبراً، وبيئات معزولة، وسياسة تحكم في الوصول. هذه الخطوات السبع تنقل الخادم من حالة "الضعف الافتراضي" إلى حالة متينة.
نعم - هذا هو الحد الأدنى الذي نطبقه على كل خادم إيجي ماس، وهو الأساس وراء خدمة إعداد VPS لدينا. نفس الأتمتة والمراقبة تبقي منتجاتنا نفسها متاحة.
تتولى إيجي ماس الاستضافة والأمان والإدارة المستمرة - لتتفرغ أنت لمنتجك.
احصل على استشارة مجانية