ساعت اول بعد از تحویل VPS: حداقلهایی که نباید عقب بیفتد
بیشتر نفوذهای هفتهٔ اول از SSH باز، کاربر root و بهروزرسانینکردن است. چکلیست همان ساعت اول، به ترتیب اولویتی که روی سرورهای خودمان رعایت میکنیم.
VPS تازه یعنی یک IP عمومی که از دقیقهٔ تحویل زیر اسکن اینترنت است. اگر نصب پنل و سایت را به «بعداً» بسپارید و SSH را همانطور که آمده رها کنید، معمولاً دیر میرسید. این فهرست را قبل از آپلود پروژه تمام کنید.
۱. ورود را از رمز به کلید ببرید
کاربر غیر root بسازید، کلید SSH بگذارید، ورود با رمز و ورود مستقیم root را ببندید. پورت ۲۲ را اگر میتوانید به چند آیپی دفتر و VPN محدود کنید. عوض کردن پورت بهتنهایی امنیت نیست؛ فقط لاگ را خلوتتر میکند.
اگر باید از کافیشاپ وصل شوید، پرش از یک Bastion یا VPN خودتان باشد، نه باز گذاشتن SSH برای همهٔ اینترنت.
۲. بهروزرسانی و فایروال، قبل از پنل
sudo apt update && sudo apt upgrade -y
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw enableپنل، وردپرس یا داکر را روی سیستمعامل کهنه نصب نکنید. خیلی از «هک روز اول» در واقع بهره از سرویس پیشفرضی است که هنوز وصله نشده.
فقط پورتهایی را باز کنید که عمداً سرویس میدهید: ۸۰ و ۴۴۳ برای وب، نه ۳۳۰۶، نه ۵۴۳۲، نه پورت پنل روی اینترنت اگر میشود روی SSH-tunnel نگهش دارید.
۳. زمان، لاگ، و نام میزبان
ساعت اشتباه TLS و کرون را خراب میکند. NTP را روشن بگذارید. hostname را به چیزی قابلتشخیص عوض کنید تا در لاگ مرکزی چند سرور قاطی نشود. Fail2ban را حداقل برای sshd فعال کنید.
۴. بکاپ را قبل از دادهٔ واقعی تعریف کنید
مقصد بکاپ را بیرون همین ماشین بگذارید. اسنپشات هایپروایزور عالی است، اما اگر فقط همانجا باشد، با خود ماشین میرود. یکبار restore آزمایشی روی سرور دورریختنی بیشتر از هر افزونهٔ بکاپ ارزش دارد.
۵. چیزی که عمداً نصب نکنید
- FTP با رمز خالی یا پنل ناشناس از پست وبلاگ
- phpMyAdmin روی مسیر پیشفرض و بدون محدودیت IP
- عامل مانیتورینگ با توکنی که در گیت عمومی رفته
سطح حمله را کم کنید، بعد ابزار اضافه کنید.
اشتباهی که مدام میبینیم
مشتری اول وردپرس را بالا میآورد، بعد میگوید «هاردنینگ را هفتهٔ بعد میرسیم». اسکنر هفتهٔ بعد را منتظر نمیماند. اگر وقت ندارید، VPS مدیریتشده بگیرید و همین چکلیست را از ما بخواهید؛ ولی همان ساعت اول را خالی نگذارید.
جمعبندی تیم فنی
ترتیب مهم است: هویت ورود، وصله، فایروال، زمان، بکاپ. قالب سایت در اولویت پنجم است. سروری که SSH باز و رمز ضعیف دارد، هنوز محیط توسعه هم نیست؛ فقط یک هدف است.
