امنیت و ریکاوری

امن سازی سرور لینوکس: SSH، فایروال، fail2ban و به روزرسانی

سرور لینوکس تازه نصب شده معمولا با تنظیمات پیش فرض و ورود با رمز ارائه می شود و همین آن را هدف ساده ای می کند. تیم فنی پیکوهاست سرور شما را بررسی و سخت سازی می کند و فهرست تغییرها را تحویل می دهد.

در یک نگاه

امن سازی سرور لینوکس یعنی کم کردن راه های ورود به سرور: ورود SSH با کلید، بستن ورود مستقیم root، فایروال، fail2ban، به روزرسانی و بستن سرویس های بی مصرف. تیم فنی پیکوهاست این تنظیمات را روی VPS یا سرور اختصاصی شما انجام می دهد و مستند می کند.

سطح های خدمت

هر سطح همه ی کارهای سطح قبلی را دارد. قیمت دقیق بعد از بررسی نیاز و حجم کار اعلام می شود.

پکیج پایه

قیمت پس از بررسی

۱۱ کار انجام می شود

  • بررسی اولیه
  • بررسی توزیع، نسخه، پنل و سرویس های فعال سرور
  • هماهنگی فهرست تغییرها با شما پیش از اعمال
  • گرفتن نسخه از فایل های پیکربندی پیش از تغییر
  • SSH
  • ورود با کلید عمومی و خصوصی
  • ایجاد کاربر عادی با دسترسی sudo
  • بستن ورود مستقیم root
  • غیرفعال کردن ورود با رمز بعد از تست کلید
  • فایروال
  • باز گذاشتن فقط پورت های لازم با CSF یا ufw
  • به روزرسانی
  • به روزرسانی بسته های سیستم
  • آزمایش و تحویل
  • بررسی فایل پیکربندی SSH با sshd -t پیش از ریلود
  • فهرست تغییرها و مسیر فایل های پیکربندی ویرایش شده
ثبت سفارش

پکیج استاندارد

قیمت پس از بررسی

۲۰ کار انجام می شود

  • همه موارد پکیج پایه و موارد زیر
  • بررسی اولیه
  • بررسی توزیع، نسخه، پنل و سرویس های فعال سرور
  • هماهنگی فهرست تغییرها با شما پیش از اعمال
  • گرفتن نسخه از فایل های پیکربندی پیش از تغییر
  • SSH
  • ورود با کلید عمومی و خصوصی
  • ایجاد کاربر عادی با دسترسی sudo
  • بستن ورود مستقیم root
  • غیرفعال کردن ورود با رمز بعد از تست کلید
  • تغییر پورت SSH، اگر خودتان بخواهید
  • محدود کردن SSH به IPهای مجاز شما
  • فایروال
  • باز گذاشتن فقط پورت های لازم با CSF یا ufw
  • فعال کردن fail2ban برای SSH
  • به روزرسانی
  • به روزرسانی بسته های سیستم
  • تنظیم به روزرسانی امنیتی خودکار، در صورت نیاز
  • سرویس ها و دسترسی ها
  • بررسی پورت های باز و سرویس های در حال اجرا
  • غیرفعال کردن سرویس های غیرضروری با هماهنگی شما
  • مرور حساب های کاربری و کلیدهای SSH
  • آزمایش و تحویل
  • بررسی فایل پیکربندی SSH با sshd -t پیش از ریلود
  • بررسی دسترسی سایت ها و سرویس ها بعد از هر مرحله
  • فهرست تغییرها و مسیر فایل های پیکربندی ویرایش شده
  • روش برگرداندن هر تغییر
ثبت سفارش

پکیج کامل

قیمت پس از بررسی

۲۶ کار انجام می شود

  • همه موارد پکیج استاندارد و موارد زیر
  • بررسی اولیه
  • بررسی توزیع، نسخه، پنل و سرویس های فعال سرور
  • هماهنگی فهرست تغییرها با شما پیش از اعمال
  • گرفتن نسخه از فایل های پیکربندی پیش از تغییر
  • SSH
  • ورود با کلید عمومی و خصوصی
  • ایجاد کاربر عادی با دسترسی sudo
  • بستن ورود مستقیم root
  • غیرفعال کردن ورود با رمز بعد از تست کلید
  • تغییر پورت SSH، اگر خودتان بخواهید
  • محدود کردن SSH به IPهای مجاز شما
  • فایروال
  • باز گذاشتن فقط پورت های لازم با CSF یا ufw
  • فعال کردن fail2ban برای SSH
  • jail برای Apache، Nginx و ایمیل در حد سرویس های سرور
  • به روزرسانی
  • به روزرسانی بسته های سیستم
  • تنظیم به روزرسانی امنیتی خودکار، در صورت نیاز
  • سرویس ها و دسترسی ها
  • بررسی پورت های باز و سرویس های در حال اجرا
  • غیرفعال کردن سرویس های غیرضروری با هماهنگی شما
  • مرور حساب های کاربری و کلیدهای SSH
  • بررسی cron jobها و حساب های FTP
  • پنل
  • بررسی تنظیمات امنیتی WHM و Tweak Settings
  • بررسی نسخه PHP و تنظیمات آن در حد امکان
  • بررسی CageFS و PHP Selector روی CloudLinux
  • آزمایش و تحویل
  • بررسی فایل پیکربندی SSH با sshd -t پیش از ریلود
  • بررسی دسترسی سایت ها و سرویس ها بعد از هر مرحله
  • فهرست تغییرها و مسیر فایل های پیکربندی ویرایش شده
  • روش برگرداندن هر تغییر
  • توضیح دلیل موردهایی که اعمال نشده اند
ثبت سفارش

کدام سطح مناسب شماست

پایه

برای VPS یا سرور تازه که فقط با رمز root وارد آن می شوید و ورود امن SSH، فایروال و به روزرسانی پایه را می خواهید.

استاندارد

برای سروری که سایت و سرویس فعال دارد و می خواهید سرویس های اضافی، دسترسی ها و محافظت در برابر تلاش ورود هم بررسی شود.

کامل

برای سرور cPanel یا چند سایتی که بررسی پنل، تنظیمات تکمیلی و سند کامل تغییرها همراه دلیل موردهای اعمال نشده را می خواهید.

مقایسه کامل پکیج ها

کارپایهاستانداردکامل
بررسی اولیه
بررسی توزیع، نسخه، پنل و سرویس های فعال سرور✓✓✓
هماهنگی فهرست تغییرها با شما پیش از اعمال✓✓✓
گرفتن نسخه از فایل های پیکربندی پیش از تغییر✓✓✓
SSH
ورود با کلید عمومی و خصوصی✓✓✓
ایجاد کاربر عادی با دسترسی sudo✓✓✓
بستن ورود مستقیم root✓✓✓
غیرفعال کردن ورود با رمز بعد از تست کلید✓✓✓
تغییر پورت SSH، اگر خودتان بخواهید-✓✓
محدود کردن SSH به IPهای مجاز شما-✓✓
فایروال
باز گذاشتن فقط پورت های لازم با CSF یا ufw✓✓✓
فعال کردن fail2ban برای SSH-✓✓
jail برای Apache، Nginx و ایمیل در حد سرویس های سرور--✓
به روزرسانی
به روزرسانی بسته های سیستم✓✓✓
تنظیم به روزرسانی امنیتی خودکار، در صورت نیاز-✓✓
سرویس ها و دسترسی ها
بررسی پورت های باز و سرویس های در حال اجرا-✓✓
غیرفعال کردن سرویس های غیرضروری با هماهنگی شما-✓✓
مرور حساب های کاربری و کلیدهای SSH-✓✓
بررسی cron jobها و حساب های FTP--✓
پنل
بررسی تنظیمات امنیتی WHM و Tweak Settings--✓
بررسی نسخه PHP و تنظیمات آن در حد امکان--✓
بررسی CageFS و PHP Selector روی CloudLinux--✓
آزمایش و تحویل
بررسی فایل پیکربندی SSH با sshd -t پیش از ریلود✓✓✓
بررسی دسترسی سایت ها و سرویس ها بعد از هر مرحله-✓✓
فهرست تغییرها و مسیر فایل های پیکربندی ویرایش شده✓✓✓
روش برگرداندن هر تغییر-✓✓
توضیح دلیل موردهایی که اعمال نشده اند--✓

چه کارهایی انجام می شود

SSH

ورود با کلید عمومی و خصوصی، غیرفعال کردن ورود با رمز بعد از تست کلید، بستن ورود مستقیم root، ایجاد کاربر عادی با sudo

فایروال

تنظیم CSF، ufw یا iptables، باز گذاشتن فقط پورت هایی که لازم است

fail2ban

فعال کردن jail برای SSH و سرویس های دیگر مثل Apache، Nginx و ایمیل، به اندازه ای که سرور شما دارد

به روزرسانی

به روزرسانی بسته های سیستم و، در صورت نیاز، تنظیم به روزرسانی امنیتی خودکار

سرویس ها

بررسی پورت های باز و سرویس های در حال اجرا و غیرفعال کردن موارد غیرضروری، با هماهنگی شما

cPanel و WHM

بررسی تنظیمات امنیتی WHM، محدود کردن دسترسی ها، بررسی Tweak Settings و نسخه PHP در حد امکان

CloudLinux

اگر CloudLinux دارید، بررسی CageFS، محدودیت منابع و تنظیمات PHP Selector

دسترسی ها

مرور حساب های کاربری، کلیدهای SSH، cron jobها و حساب های FTP

چه زمانی به این خدمت نیاز دارید

  • سرور تازه خریداری یا نصب شده و هنوز فقط با رمز root وارد آن می شوید.
  • در لاگ SSH (مثلا /var/log/auth.log در Ubuntu و Debian یا /var/log/secure در AlmaLinux) تعداد زیادی تلاش ناموفق ورود می بینید.
  • سایت یا سرور قبلا هک شده و می خواهید راه ورود مهاجم بسته شود. در این مورد پاکسازی هک سایت هم لازم است.
  • سرور بسته های قدیمی دارد و مدت زیادی به روزرسانی نشده است.
  • پورت های زیادی باز است و نمی دانید هر کدام برای چه سرویسی است.
  • چند نفر به سرور دسترسی دارند و فهرست دقیقی از حساب ها وجود ندارد.

مراحل کار

  1. ۱

    مشخصات سرور را بررسی می کنیم: توزیع، نسخه، پنل (cPanel، Plesk یا بدون پنل)، سرویس های فعال و سایت هایی که روی آن اجرا می شوند.

  2. ۲

    فهرست تغییرهای پیشنهادی را با شما هماهنگ می کنیم، مخصوصا موردهایی که می تواند روی سرویس فعلی اثر بگذارد، مثل تغییر پورت SSH یا بستن یک پورت.

  3. ۳

    یک جلسه SSH باز نگه می داریم و تغییرها را به ترتیب اعمال می کنیم. اول کلید SSH و کاربر جدید را تست می کنیم و بعد ورود با رمز را می بندیم.

  4. ۴

    فایروال و fail2ban را تنظیم می کنیم و بعد از هر مرحله دسترسی سایت ها و سرویس ها را دوباره بررسی می کنیم.

  5. ۵

    به روزرسانی ها را اجرا می کنیم و در صورت نیاز سرویس ها را ری استارت می کنیم. ری استارت را با هماهنگی زمان با شما انجام می دهیم.

  6. ۶

    فهرست تغییرها را همراه روش برگرداندن هر کدام تحویل می دهیم.

چه چیزی از شما لازم داریم

  • آدرس IP سرور، نوع توزیع و پنل مدیریتی، و اینکه چه سایت یا سرویسی روی آن اجرا می شود.
  • دسترسی root یا یک کاربر با دسترسی sudo. رمز را در متن تیکت نفرستید. دسترسی از طریق فیلدهای خصوصی تیکت یا یک حساب موقت که بعد از پایان کار حذف می شود داده می شود.
  • فهرست IPهایی که باید همیشه دسترسی داشته باشند، مثل IP دفتر یا سرور مانیتورینگ.
  • زمان مناسب برای ری استارت یا بازگردانی سرویس ها.
  • نسخه پشتیبان اخیر. پیش از تغییرات بزرگ بهتر است از بکاپ گیری و ریکاوری سرور استفاده کنید.

چه چیزی تحویل می دهید و چه چیزی تضمین نمی شود؟

بعد از پایان کار، فهرستی از همه تغییرها، مسیر فایل های پیکربندی که ویرایش شده اند و روش برگرداندن هر تغییر را دریافت می کنید. اگر موردی را به دلیل وابستگی سرویس ها اعمال نکرده باشیم، دلیلش را هم می نویسیم.

محدودیت ها را باید بدانید:

  • سخت سازی سرور احتمال نفوذ را کم می کند، ولی ایمن بودن سرور را ثابت نمی کند. آسیب پذیری در برنامه ها، افزونه ها و رمزهای ضعیف سایت ها از دایره این خدمت خارج است.
  • امنیت سرور به روزرسانی مداوم نیاز دارد. تنظیم امروز فقط تا وقتی مفید است که بسته ها و سایت ها به روز بمانند.
  • بعضی تغییرها ممکن است با نرم افزار قدیمی یا سفارشی شما سازگار نباشد. در این حالت تغییر را اعمال نمی کنیم یا نسخه ساده تری را پیشنهاد می دهیم.
  • روی هاست اشتراکی دسترسی root وجود ندارد و بیشتر این کارها به تنظیمات خود هاست و سایت محدود می شود.

برای تنظیمات فایروال و محدود کردن درخواست ها به صورت جداگانه، خدمت تنظیم فایروال سرور را ببینید. اگر نگهداری مداوم سرور هم می خواهید، مدیریت سرور را بررسی کنید.

سوالات پرتکرار

آیا بعد از غیرفعال شدن ورود با رمز خودم قفل می شوم؟
اگر کلید SSH پیش از غیرفعال کردن رمز تست نشود، بله ممکن است. به همین دلیل همیشه یک جلسه باز نگه می داریم و ورود با کلید را از یک پنجره جدید آزمایش می کنیم، بعد ورود با رمز را می بندیم.
تغییر پورت SSH لازم است؟
لازم نیست. تغییر پورت فقط تعداد تلاش های خودکار در لاگ را کم می کند و جای کلید SSH و فایروال را نمی گیرد. اگر بخواهید، انجامش می دهیم و فایروال را هم هماهنگ می کنیم.
روی سرور cPanel هم همین کارها قابل انجام است؟
بله، ولی با دقت بیشتر. cPanel بعضی سرویس ها و فایل های پیکربندی را خودش مدیریت می کند و ویرایش مستقیم آن ها ممکن است با به روزرسانی بعدی برگردد. به همین دلیل تغییرها را تا حد ممکن از راه WHM و ابزارهایی مثل CSF انجام می دهیم. مستندات رسمی را در docs.cpanel.net ببینید.
آیا بعد از سخت سازی لازم است سرور را ری استارت کنید؟
فقط اگر هسته به روز شده باشد یا سرویس مهمی تغییر کرده باشد. زمان ری استارت را از شما می پرسیم و سایت ها را بعد از بالا آمدن سرور بررسی می کنیم.
فرق این خدمت با مدیریت سرور چیست؟
امن سازی یک کار مشخص است که یک بار انجام می شود و با فهرست تغییرها تحویل داده می شود. مدیریت سرور نگهداری مداوم است و جزئیات آن در صفحه همان خدمت آمده است.

خدمات مرتبط

امنیت و ریکاوریسفارش از تیکت یا فروشگاهتنظیم فایروال سرور: CSF، iptables، ufw و fail2ban

تنظیم فایروال سرور توسط تیم فنی پیکوهاست با CSF، iptables یا ufw، به همراه fail2ban، محدودیت درخواست و ModSecurity، با توضیح صادقانه درباره محدودیت ها.

مشاهده خدمتامنیت و ریکاوریسفارش از تیکت یا فروشگاهپاکسازی هک سایت وردپرس و PHP، حذف بدافزار و بک دور

پاکسازی هک سایت وردپرس و PHP توسط تیم فنی پیکوهاست: حذف بدافزار و بک دور، رفع هشدار گوگل و بلک لیست، و سخت سازی سایت بعد از پاکسازی.

مشاهده خدمتمدیریت و نگهداری سرورسفارش از تیکت یا فروشگاهمدیریت سرور مجازی و اختصاصی توسط تیم فنی پیکوهاست

مدیریت سرور شامل مانیتورینگ، به روزرسانی، وصله امنیتی، بکاپ و پاسخ به حادثه است. ببینید تیم فنی پیکوهاست چه کارهایی را انجام می دهد.

مشاهده خدمت