۱۰ کار امنیتی که بلافاصله بعد از تحویل سرور باید انجام دهید

هشدار: تا زمانی که از اتصال با روش جدید مطمئن نشده‌اید، نشست SSH فعلی را نبندید. همیشه یک ترمینال دوم برای تست باز کنید.

۱. تغییر رمز root

passwd

یک رمز طولانی و تصادفی انتخاب کنید و در مدیر رمز ذخیره کنید.

۲. به‌روزرسانی سیستم

apt update && apt -y upgrade

اگر سرور ایران است و apt update خطا می‌دهد، از میرور داخلی استفاده کنید: رفع خطای apt و docker روی سرور ایران.

۳. ساخت کاربر با دسترسی sudo

adduser deploy
usermod -aG sudo deploy

۴. ورود با کلید SSH

روی رایانهٔ خودتان (اگر کلید ندارید):

ssh-keygen -t ed25519 -C "my-laptop"
ssh-copy-id deploy@SERVER_IP

سپس در ترمینال جدید تست کنید: ssh deploy@SERVER_IP.

۵. غیرفعال کردن ورود root و ورود با رمز

فایل /etc/ssh/sshd_config را ویرایش کنید و این مقادیر را تنظیم کنید:

PermitRootLogin no
PasswordAuthentication no

در Ubuntu فایل‌های داخل /etc/ssh/sshd_config.d/ را هم بررسی کنید تا مقدار متضادی نداشته باشند. سپس:

sudo systemctl restart ssh

و در ترمینال جدید دوباره ورود با کلید را تست کنید.

۶. تغییر پورت SSH (اختیاری)

تغییر پورت امنیت واقعی ایجاد نمی‌کند ولی حجم تلاش‌های خودکار را کم می‌کند. اگر تغییر دادید، ابتدا پورت جدید را در فایروال باز کنید. توجه: در Ubuntu 24.04 ممکن است SSH با socket activation اجرا شود و تغییر پورت به تنظیم ssh.socket نیاز داشته باشد.

۷. فایروال UFW

sudo ufw allow OpenSSH
sudo ufw allow 80,443/tcp
sudo ufw enable
sudo ufw status verbose

اگر پورت SSH را تغییر داده‌اید، به‌جای OpenSSH همان پورت را باز کنید.

۸. نصب Fail2ban

sudo apt install -y fail2ban
sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

۹. به‌روزرسانی خودکار امنیتی

sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

۱۰. بکاپ یا اسنپ‌شات اولیه

اگر ارائه‌دهندهٔ سرور شما اسنپ‌شات دارد (در بسیاری از سرورهای خارج کلودیفای از منوی سرور در دسترس است)، یک اسنپ‌شات از وضعیت تمیز بگیرید. فایل‌های پیکربندی مهم را هم خارج از سرور نگه دارید.

خلاصهٔ اجرایی

1. به‌روزرسانی سیستم

   apt update و upgrade

2. کاربر sudo

   کار روزمره بدون root

3. کلید SSH

   ورود با رمز را ببندید

4. فایروال

   فقط پورت‌های لازم

5. Fail2ban

   مسدودسازی تلاش‌های مکرر

6. بکاپ

   اسنپ‌شات یا بکاپ اولیه

نشانه‌های نفوذ به سرور

حتی با رعایت چک‌لیست، هر چند وقت یک بار این نشانه‌ها را بررسی کنید:

• مصرف غیرعادی پردازنده توسط پروسه‌ای ناشناخته (رایج‌ترین نشانهٔ ماینر): top یا htop.
• ترافیک خروجی ناگهانی بدون افزایش بازدید: vnstat یا iftop.
• کاربران یا کلیدهای ناشناخته: cat /etc/passwd و cat ~/.ssh/authorized_keys.
• کارهای زمان‌بندی‌شدهٔ ناشناخته: crontab -l و ls /etc/cron.d.
• ورودهای ناآشنا: last -a | head و sudo grep "Accepted" /var/log/auth.log.

# پروسه‌هایی که به شبکه وصل‌اند
sudo ss -tunp

# پرمصرف‌ترین پروسه‌ها
ps aux --sort=-%cpu | head

اگر سرور هک شد چه کنیم؟

1. همهٔ رمزها، توکن‌ها و کلیدهای API که روی سرور ذخیره بوده‌اند را از یک سیستم امن دیگر عوض کنید.
2. از داده‌های ضروری (نه فایل‌های اجرایی و اسکریپت‌ها) بکاپ بگیرید.
3. یک سرور جدید و تمیز بسازید و این چک‌لیست را از ابتدا روی آن اجرا کنید.
4. داده‌ها را پس از بررسی به سرور جدید منتقل کنید و سرور آلوده را حذف کنید.
5. علت نفوذ (رمز ضعیف، نرم‌افزار قدیمی، پنل باز) را پیدا و رفع کنید تا تکرار نشود.

پاک‌سازی سرور آلوده معمولاً قابل اعتماد نیست؛ ساخت سرور جدید امن‌ترین راه است. با صورتحساب ساعتی، سرور جدید در چند دقیقه آماده است.

امنیت سرویس‌های رایج

برنامهٔ نگه‌داری دوره‌ای

• هفتگی: بررسی apt list --upgradable، فضای دیسک (df -h) و لاگ Fail2ban.
• ماهانه: مرور کاربران و کلیدهای SSH، حذف سرویس‌های بی‌استفاده، تست بازگردانی یک بکاپ.
• پس از هر تغییر بزرگ: بررسی پورت‌های باز با sudo ss -tulpn.

سؤالات متداول