ارزیابی اولیه
اسکن پورت ها با Nmap، بررسی با Lynis یا CIS-CAT و فهرست کردن سرویس ها، کاربران و بسته های قدیمی.
امنیت و بازیابی
هاردنینگ سرور: امن سازی سرور لینوکس و ویندوز
بیشتر نفوذها از یک در باز شروع می شوند، مثل SSH با رمز ساده، RDP باز روی اینترنت یا پنلی که سال ها کسی به روزش نکرده، و در هاردنینگ سرور همین درها را می بندیم. امنیت سرور را با چک لیست CIS می سنجیم و تغییرات را طوری اعمال می کنیم که سرویس های در حال کار کمترین اثر را ببینند. شرح مکتوب هر تغییر را هم دریافت می کنید.
ابزارها و فناوری ها
server-hardening
- Lynis
- CIS Benchmarks
- Nmap
- Fail2ban
- CSF
- nftables
- OpenSSH
- Group Policy
- auditd
6بخش کار
4خروجی
4مرحله
هاردنینگ سرور چیست؟
در هاردنینگ سرور، راه های رایج نفوذ به سرور لینوکس یا ویندوز را بر اساس چک لیست CIS می بندیم؛ راه هایی مثل SSH با رمز ساده، RDP باز روی اینترنت و سرویس های اضافه. سروری که لاگش پر از تلاش ناموفق برای ورود است، بدون هیچ تنظیم امنیتی از دیتاسنتر تحویل گرفته شده یا مشتری و بازرس برایش گزارش امنیت سرور خواسته اند، به این کار نیاز دارد. پیکوسیستم اول وضعیت را با Nmap و Lynis ثبت می کند و در این مرحله چیزی را تغییر نمی دهد. سپس ورود root و ورود با رمز را در SSH غیرفعال و Fail2ban را نصب می کند، RDP را به VPN محدود می کند و فایروال CSF، nftables یا Windows Defender Firewall را با سیاست پیش فرض بسته تنظیم می کند. تغییرات مرحله به مرحله و بعد از بکاپ گرفتن از تنظیمات اعمال می شوند. در پایان گزارش قبل و بعد با امتیاز Lynis یا CIS و فهرست تغییرات هر سرور را تحویل می گیرید.
چه زمانی به هاردنینگ سرور نیاز دارید؟
- لاگ سرور پر از تلاش ناموفق برای ورود به SSH است.
- پورت RDP سرور ویندوز مستقیم روی اینترنت باز است.
- سرور را از دیتاسنتر تحویل گرفتیم و هیچ تنظیم امنیتی رویش انجام نشده.
- مشتری یا بازرس از ما گزارش امنیت سرور خواسته است.
هاردنینگ سرور شامل چه کارهایی است؟
امن سازی دسترسی
غیرفعال کردن ورود root و ورود با رمز در SSH، ورود با کلید و Fail2ban؛ در ویندوز، محدود کردن RDP به VPN و فعال کردن NLA.
فایروال میزبان
تنظیم CSF، nftables یا Windows Defender Firewall با سیاست پیش فرض بسته و باز کردن فقط پورت های لازم.
به روزرسانی و سرویس ها
حذف سرویس ها و بسته های بلااستفاده، تنظیم به روزرسانی امنیتی خودکار و امن سازی تنظیمات Nginx، PHP و MySQL.
سیاست های ویندوز
اعمال توصیه های CIS از طریق Group Policy، از جمله سیاست رمز، قفل حساب، غیرفعال کردن SMBv1 و ممیزی ورودها.
لاگ و ممیزی
فعال کردن auditd یا Windows Event Forwarding و نگهداری لاگ ورودها روی سروری جداگانه.
بعد از هاردنینگ سرور چه چیزی تحویل می گیرید؟
- گزارش وضعیت پیش و پس از هاردنینگ با امتیاز Lynis یا CIS
- فهرست تغییرات اعمال شده روی هر سرور
- چک لیست امنیت سرور برای راه اندازی سرورهای بعدی
- موارد باقی مانده که به تصمیم شما نیاز دارند
راهنمای هاردنینگ سرور
هاردنینگ ویندوز سرور با CIS: Level 1 یا Level 2؟
CIS Benchmark برای ویندوز سرور دو سطح دارد. Level 1 تنظیماتی است که روی بیشتر سرورها بدون از کار انداختن سرویس ها اعمال می شود، مثل سیاست رمز، ممیزی ورودها و غیرفعال کردن پروتکل های قدیمی. Level 2 سخت گیرانه تر است و برای سرورهای حساس نوشته شده؛ بعضی تنظیمات آن مثل محدودیت های NTLM می تواند نرم افزارهای قدیمی یا اتصال چاپگرها را قطع کند.
ما Level 1 را مبنا می گذاریم و موارد Level 2 را بر اساس نقش هر سرور انتخاب می کنیم. در محیط دامین، تنظیمات اول در یک GPO روی OU آزمایشی اعمال می شوند و بعد به بقیه گسترش پیدا می کنند. برای سرورهای خارج از دامین از LGPO و Policy Analyzer در Microsoft Security Compliance Toolkit کمک می گیریم و نتیجه را با CIS-CAT Lite می سنجیم.
اشتباهات پرتکرار در امن سازی سرور لینوکس
برای خیلی ها تنها اقدام امنیتی، عوض کردن پورت SSH است، که فقط لاگ را خلوت تر می کند. اشتباه پرهزینه تر این است که ورود با رمز پیش از امتحان ورود با کلید غیرفعال شود. قبل از reload کردن sshd، دستور sshd -t را اجرا کنید و یک نشست دوم را باز نگه دارید.
روی AlmaLinux و Rocky، خاموش کردن SELinux به جای اصلاح context یا ثبت پورت جدید با semanage، یک لایه حفاظتی واقعی را برمی دارد. Debian 12 به طور پیش فرض rsyslog نصب نمی کند و آنجا Fail2ban بدون backend = systemd هیچ لاگی نمی خواند و بی صدا بی اثر می ماند. فایروال میزبانی هم که قاعده هایش فقط برای IPv4 نوشته شده، اغلب همه پورت ها را روی IPv6 باز گذاشته است.
پیش از هاردنینگ سرور چه چیزهایی آماده کنید؟
مهم ترین مورد، یک راه دسترسی جایگزین است. اگر تنظیم SSH یا فایروال اشتباه شود، کنسول KVM، iLO، iDRAC یا کنسول VNC پنل دیتاسنتر تنها راه برگشت است، پس پیش از شروع مطمئن شوید کار می کند.
برای هر سرور بنویسید چه نرم افزارهایی رویش هست، از چه پورت هایی استفاده می کنند و چه آدرس هایی به آن ها وصل می شوند؛ مثلاً نرم افزار حسابداری شعبه که به SQL Server وصل می شود. یک snapshot یا بکاپ تازه، دسترسی به پنل هایی مثل cPanel یا DirectAdmin و یک بازه زمانی کم ترافیک هم لازم است.
امن سازی سرور چقدر کار دارد؟
اول از همه به تعداد و تنوع سرورها برمی گردد. ده سرور Ubuntu یکسان با یک چک لیست و یک playbook امن می شوند، ولی وقتی لینوکس، ویندوز عضو دامین و سرور دارای پنل کنار هم باشند، هر گروه برنامه جداگانه می خواهد.
نرم افزارهای قدیمی که به TLS 1.0، SMBv1 یا حساب مدیر محلی وابسته اند، زمان تست را زیاد می کنند. اگر بازرس یا مشتری قالب خاصی برای گزارش بخواهد، آن هم روی کار اثر دارد. دسترسی از راه دور معمولاً کافی است و بازدید حضوری فقط برای سرورهایی لازم می شود که کنسول مدیریت از راه دور ندارند.
مراحل هاردنینگ سرور
-
01
بررسی و اسکن
با دسترسی توافق شده، وضعیت فعلی را بدون هیچ تغییری ثبت می کنیم.
-
02
برنامه تغییرات
هر تغییر را همراه اثرش روی سرویس ها در یک فهرست به شما نشان می دهیم و زمان اعمال را با هم تعیین می کنیم.
-
03
اعمال و تست
اول از فایل های تنظیمات نسخه پشتیبان می گیریم. بعد تغییرات را مرحله به مرحله اعمال می کنیم و پس از هر مرحله سرویس ها را تست می کنیم.
-
04
گزارش و تحویل
اسکن ها دوباره اجرا می شوند و گزارش مقایسه ای، کنار فهرست تغییرات، به شما می رسد.
سؤالات متداول درباره هاردنینگ سرور
هاردنینگ باعث از کار افتادن سایت یا نرم افزار ما نمی شود؟
بعضی تنظیمات ممکن است با نرم افزار قدیمی سازگار نباشند، پس این خطر هست. برای کم کردنش پیش از اعمال از تنظیمات بکاپ می گیریم و تغییرات را مرحله ای انجام می دهیم، با تست سرویس ها بعد از هر مرحله. اگر تنظیمی مشکل ساز شد، برش می گردانیم و راه جایگزین پیشنهاد می دهیم.
نصب فایروال CSF روی سرور با cPanel یا DirectAdmin را انجام می دهید؟
بله، CSF را همراه LFD نصب می کنیم. پورت های پنل و ایمیل درست باز می شوند و هشدارها به ایمیل شما فرستاده می شود. تنظیمات را هم طوری می چینیم که با سرویس های خود پنل تداخل نداشته باشد.
هاردنینگ یک بار کافی است؟
تنظیمات اولیه مدت زیادی معتبر می ماند. اما نرم افزارها به روز می شوند و آسیب پذیری تازه پیدا می شود، پس بازبینی دوره ای و به روزرسانی منظم را پیشنهاد می کنیم؛ این کار می تواند بخشی از قرارداد پشتیبانی باشد.
جست وجوهای مرتبط
- هاردنینگ ویندوز سرور
- امن سازی سرور
- امن سازی لینوکس
- امن سازی ویندوز
- نصب فایروال CSF
- Hardening Windows Server CIS
- هاردنینگ ویندوز
مقاله های مرتبط
-
امنیت سرور و سایت Hardening چیست؟ راهنمای هاردنینگ سرور لینوکس و ویندوز با چک لیست
هر سرویس یا پورتی که سرور برای کار شما لازم ندارد یک راه ورود اضافه است و هاردنینگ یعنی بستن همین راه ها. مطلب از مفهوم CIS شروع می شود و به دستورهای عملی و چک لیست لینوکس و ویندوز می رسد. -
امنیت سرور و سایت فایروال چیست؟ انواع فایروال، قواعد و تفاوت فایروال سخت افزاری و نرم افزاری
فایروال ترافیک شبکه را بر اساس قاعده ها اجازه یا رد می کند. انواع آن از packet filter تا NGFW و WAF، فرق فایروال سخت افزاری و نرم افزاری، ترتیب قواعد، یک نمونه کانفیگ و اشتباه هایی که فایروال را بی اثر می کنند. -
امنیت سرور و سایت بکاپ گیری از سرور: قانون 3-2-1، انواع بکاپ و تست بازیابی
بکاپی که بازیابی نشده باشد، فقط یک فرض است. قانون 3-2-1، تفاوت بکاپ کامل و افزایشی و تفاضلی، RPO و RTO، دستورهای بکاپ دیتابیس و فایل در لینوکس، و برنامه ای برای تست بازیابی. -
امنیت سرور و سایت باج افزار چیست؟ نحوه حمله، نمونه های معروف و راه های پیشگیری
باج افزار فایل های شما را رمز می کند و برای بازگرداندنشان پول می خواهد. اینجا می خوانید این حمله معمولا از کجا شروع می شود، در ساعت های اول چه کارهایی نکنید و چطور جلویش را بگیرید.
خدمات مرتبط
استعلام
کارتان را بگویید، مسیر و هزینه را می گوییم
چند خط درباره وضعیت فعلی و چیزی که می خواهید بنویسید. یک مهندس خودش با شما تماس می گیرد و درخواست به واحد فروش نمی رود.
- 01درخواست را می خوانیم و اگر ابهامی بود تماس می گیریم.
- 02در صورت نیاز، بررسی اولیه ریموت یا بازدید انجام می شود.
- 03پیشنهاد مکتوب با دامنه کار، زمان بندی و هزینه می فرستیم.