الخادم الافتراضي الجديد آلة فارغة متصلة بالإنترنت، والإنترنت لا ينتظر. في غضون ساعات من تعريض خادم غير مهيّأ، تبدأ أدوات الفحص الآلية بفحص المنافذ الشائعة وتجربة بيانات الدخول الافتراضية والبحث عن برمجيات غير محدّثة. والفرق بين خادم يصمد أمام هذه الفحوصات وآخر لا يصمد يتحدد عادةً قبل الإطلاق لا بعد وقوع حادث. فتقوية الأمان مهمة تُنجَز قبل الإطلاق.
الخبر الجيد أن تقوية أمان VPS مهمة محدودة. تتناول قائمة التحقق أدناه الإجراءات الاثني عشر الأكثر أهمية، موزّعة على أربع مراحل. ولا يتطلب أي منها أدوات استثنائية، بل هي إدارة Linux قياسية تُنفَّذ بعناية. يأتي كل VPS NVMe من Open Vista بعنوان IPv4 مخصص ولوحة إدارة ونسخ احتياطي آلي ودعم 24/7 بالفرنسية والإنجليزية، وهو ما يغطي جزءًا من العمل (النسخ الاحتياطي والوصول إلى الطرفية) بينما يبقى الباقي عليك تهيئته.
ابدأ من قاعدة نظيفة
1. طبّق جميع تحديثات نظام التشغيل قبل الإطلاق. ثبّت أحدث الحزم، ثم أعد التشغيل ليتوافق النواة العاملة مع النواة المثبتة. الخادم الذي يبدأ محدّثًا تكون لديه ثغرات أقل بكثير لسدّها لاحقًا.
2. ثبّت ما تحتاج إليه فقط. كل حزمة إضافية تمثل سطح هجوم محتملاً وأمرًا إضافيًا يستوجب التحديث. تجنّب الأدوات الرسومية وخدمات العرض التجريبي على VPS إنتاجي، ولا تضف برمجيات إلا إذا تطلبت ذلك مهمة ما.
3. أنشئ مستخدمًا إداريًا مخصصًا. نفّذ أعمالك اليومية بحساب غير root يملك صلاحيات sudo. ويُفضّل حصر حساب root في إجراءات إدارية محددة، لا في عمليات الدخول اليومية، فذلك يجعل الأخطاء أصعب ويجعل سجلات التدقيق أوضح.
أحكم إغلاق SSH والوصول الإداري
4. انتقل إلى مفاتيح SSH وعطّل المصادقة بكلمة المرور. انسخ مفتاحك العام إلى الخادم، وتأكد من إمكانية الدخول به، ثم اضبط `PasswordAuthentication no` و`PermitRootLogin no` في `sshd_config`. تُزيل المصادقة بالمفاتيح الهدف الأكثر شيوعًا لهجمات القوة الغاشمة: مطالبة كلمة مرور SSH.
5. قيّد من يمكنه الوصول إلى SSH. إذا كان فريقك يعمل من عناوين ثابتة، فاقصر SSH على تلك العناوين في جدار الحماية. وإذا كانت العناوين متغيّرة، فأبقِ SSH مفتوحًا لكن محميًا بالمفاتيح وبأداة تحدّ من محاولات الدخول مثل fail2ban.
6. احمِ كل واجهة إدارية. لوحة الإدارة المرافقة لـ VPS الخاص بك أداة قوية، لذا استخدم كلمة مرور قوية وفريدة، وفعّل أي عامل تحقق ثانٍ متاح، وقيّد الوصول إلى اللوحة على الشبكات الموثوقة متى أمكن. فالمهاجم الذي يصل إلى اللوحة يمكنه تجاوز معظم حمايات مستوى الخادم.
قلّل سطح الشبكة المكشوف
7. اضبط جدار الحماية بسياسة رفض افتراضية. اسمح فقط بالمنافذ التي تحتاجها خدماتك فعليًا، وعادةً 22 لـ SSH و80 و443 للويب، وأسقط كل ما عداها. على VPS جديد، لا ينبغي أن يكون أي منفذ وارد مفتوحًا افتراضيًا.
8. عطّل الخدمات غير المستخدمة أو أزلها. افحص المنافذ المستمعة باستخدام `ss -tulpn` وتساءل عن كل سطر. وإذا لم تكن هناك حاجة إلى خدمة ما، فأوقفها وعطّلها. فسطح الاستماع الأصغر يعني وضعًا أمنيًا أبسط.
9. أزل بيانات الدخول الافتراضية والملفات النموذجية أو عطّلها. إذا كانت حزمتك تتضمن قواعد بيانات تجريبية أو مستخدمين تجريبيين أو مفاتيح API افتراضية، فأزلها. وغيّر أيضًا أي كلمات مرور افتراضية أُنشئت أثناء التثبيت، فهنا تحقق أدوات الفحص الآلية أولى نجاحاتها.
أتمت التحديثات والنسخ الاحتياطي والمراقبة
10. فعّل تحديثات الأمان الآلية. اضبط التحديثات غير المراقَبة (unattended upgrades) للتصحيحات الأمنية كي يعالج الخادم نفسه بين نوافذ الصيانة لديك. وراقب سجلات التحديث للتأكد من تنفيذها.
11. تحقّق من سلسلة النسخ الاحتياطي قبل الإطلاق. تتضمن كل خطة من Open Vista نسخًا احتياطيًا آليًا، لكن النسخة التي لم تستعدها قط تبقى افتراضًا لا ضمانًا. نفّذ استعادة في بيئة اختبار، وتأكد من عودة بياناتك وإعداداتك، وسجّل المدة التي استغرقتها الاستعادة. ووثّق الإجراء، لأنك لن تتذكره أثناء حادث.
12. جهّز المراقبة ومراجعة السجلات. كحد أدنى، راجع سجلات المصادقة (`journalctl` أو `/var/log/auth.log`) يوميًا أو أسبوعيًا، واستخدم أداة بسيطة لمراقبة التوفر أو الموارد تنبّهك إلى الحالات الشاذة. فالحوادث الأمنية تترك آثارًا في السجلات، ولا بد من شخص يقرأها.
قائمة التحقق من 12 نقطة قبل الإطلاق
1. [ ] نظام التشغيل محدّث بالكامل وأُعيد تشغيله.
2. [ ] لم تُثبَّت إلا الحزم المطلوبة.
3. [ ] يُنفَّذ العمل اليومي بمستخدم sudo غير root.
4. [ ] يعتمد SSH على المفاتيح، والدخول بكلمة المرور وبحساب root معطّل.
5. [ ] SSH مقيّد بجدار الحماية أو بـ fail2ban.
6. [ ] كلمة مرور لوحة الإدارة قوية والوصول مقيّد.
7. [ ] جدار الحماية يرفض افتراضيًا، والمنافذ المفتوحة 22 و80 و443 فقط.
8. [ ] الخدمات غير المستخدمة موقوفة ومعطّلة.
9. [ ] أُزيلت بيانات الدخول الافتراضية والملفات النموذجية.
10. [ ] تحديثات الأمان الآلية مفعّلة.
11. [ ] تم التحقق من النسخ الاحتياطي باختبار استعادة.
12. [ ] مراجعة السجلات والمراقبة قائمة.
الأسئلة الشائعة
لماذا تُعدّ المصادقة بمفتاح SSH بهذه الأهمية؟ تُفحص عمليات الدخول بكلمة المرور وتُهاجَم باستمرار منذ اللحظة التي يصبح فيها الخادم متاحًا. أما المفاتيح فهي أسرار طويلة تشفيريًا لا يمكن تخمينها، وتعطيل المصادقة بكلمة المرور يُزيل فئة كاملة من هجمات القوة الغاشمة والقاموس على SSH.
هل يكفي جدار الحماية وحده؟ لا. يقلّل جدار الحماية سطح الهجوم، لكنه لا يفعل شيئًا تجاه الثغرات في الخدمات التي تعرّضها، أو بيانات الدخول الضعيفة، أو البرمجيات غير المحدّثة. فجدار الحماية والتحديثات وضبط الوصول والمراقبة تعمل كمنظومة واحدة، ولهذا تجمعها قائمة التحقق.
مزوّدي يتضمن نسخًا احتياطيًا آليًا. هل ما زلت بحاجة إلى اختبار الاستعادة؟ نعم. تضمن النسخ الاحتياطي الآلي التقاط البيانات وفق جدول زمني، لكن اختبار الاستعادة وحده هو ما يثبت أن النسخ كاملة وقابلة للقراءة وسريعة بما يكفي لاحتياجات الاستعادة لديك. والاختبار قبل الإطلاق أقل تكلفة بكثير من اكتشاف المشكلات أثناء انقطاع الخدمة.
لست خبيرًا في Linux. هل يمكنني مع ذلك تشغيل VPS آمن؟ نعم، إذا اتبعت قائمة تحقق كهذه واستندت إلى دعم مزوّدك في الخطوات التي تشك فيها. دعم Open Vista متاح على مدار 24/7 بالفرنسية والإنجليزية، والشركة مكتب استشارات تقنية معلومات مقره الرباط بالمغرب، ويتمتع مؤسسها بأكثر من 15 عامًا من الخبرة القيادية في تقنية المعلومات من كندا وأوروبا وأفريقيا (من المراجع Desjardins وHydro-Québec وCDW Canada وDeschênes Group). وعند الشك، اسأل قبل الإطلاق.
الأمان تهيئة تُنجز مرة واحدة ثم تُصان باستمرار. ابدأ مشروعك القادم على بنية تحتية تدعم ذلك: قارن خطط VPS NVMe من Open Vista (دون عقد، وIPv4 مخصصة، ولوحة إدارة، ونسخ احتياطي آلي، ودعم 24/7) على https://openvista.ma/en/vps واطلب عبر my.openvista.ma، مع النشر في أقل من 15 دقيقة.