چک‌لیست امن‌سازی سرور مجازی ایران بعد از خرید
بعد از خرید سرور مجازی، قبل از انتقال سایت یا نصب نرم‌افزار، باید تنظیمات امنیتی آن را بررسی کنید. در سرویس‌های مدیریت‌نشده، این کار بر عهده مالک سرور است؛ از تغییر رمز و تنظیم فایروال گرفته تا به‌روزرسانی سیستم‌عامل و تهیه نسخه پشتیبان.
برای شروع لازم نیست چندین ابزار امنیتی نصب کنید. اول مشخص کنید چه کسانی باید به سرور دسترسی داشته باشند، چه سرویس‌هایی قرار است اجرا شوند و بکاپ اطلاعات کجا نگهداری می‌شود. مراحل زیر کمک می‌کنند تنظیمات ضروری را به ترتیب انجام دهید.
۱. رمز اولیه و دسترسی پنل را بررسی کنید
در اولین ورود، رمز اولیه سرور را تغییر دهید. از رمز طولانی و اختصاصی استفاده کنید و آن را در نرم‌افزار مدیریت رمز عبور نگه دارید. رمز سرور، ناحیه کاربری و ایمیل نباید یکسان باشد. اگر چند نفر سرور را مدیریت می‌کنند، برای هر نفر حساب جداگانه بسازید تا دسترسی‌ها قابل پیگیری و لغو باشند.
محل دسترسی به کنسول سرور را هم پیدا کنید. در پنل سرور مجازی ایران های‌دیتا امکاناتی مانند اتصال VNC، نصب مجدد سیستم‌عامل و مشاهده مصرف منابع در دسترس است. کنسول VNC برای اصلاح تنظیماتی که اتصال SSH یا ریموت دسکتاپ را قطع کرده‌اند کاربرد دارد. نصب مجدد سیستم‌عامل می‌تواند اطلاعات دیسک را پاک کند؛ آن را با راه‌اندازی مجدد اشتباه نگیرید.
۲. سیستم‌عامل را به‌روز کنید
نسخه سیستم‌عامل را بررسی کنید و مطمئن شوید هنوز به‌روزرسانی امنیتی دریافت می‌کند. سپس وصله‌های موجود را از مخازن رسمی نصب کنید. تازه نصب شدن سرور لزوماً به معنی به‌روز بودن همه بسته‌ها نیست.
اگر نصب به‌روزرسانی به ریستارت نیاز دارد، بهتر است پیش از راه‌اندازی سرویس اصلی انجام شود. پس از شروع کار سایت یا نرم‌افزار، برای به‌روزرسانی‌ها زمان مشخصی در نظر بگیرید و پیش از تغییرات مهم، از داده‌ها و تنظیمات نسخه پشتیبان تهیه کنید.
۳. ورود با SSH و ریموت دسکتاپ را محدود کنید
در لینوکس، یک کاربر مدیریتی جداگانه بسازید و برای کارهای روزمره از ورود مستقیم با root استفاده نکنید. ورود با کلید SSH را تنظیم کنید؛ پس از اطمینان از عملکرد کلید و دسترسی sudo، ورود با رمز و ورود مستقیم root را غیرفعال کنید. پیش از بستن نشست فعلی، اتصال جدید را آزمایش کنید.
در ویندوز، دسترسی Remote Desktop را فقط به حساب‌های لازم بدهید و گزینه NLA را فعال نگه دارید. این قابلیت، احراز هویت را پیش از ایجاد نشست ریموت انجام می‌دهد. برای حساب‌های مجاز هم رمزهای قوی و جداگانه تعیین کنید.
در صورت داشتن IP ثابت، دسترسی مدیریتی را به همان IP محدود کنید. تغییر پورت SSH یا ریموت دسکتاپ ممکن است تعداد تلاش‌های خودکار را کم کند، اما جای احراز هویت قوی و محدودسازی دسترسی را نمی‌گیرد.
۴. فقط پورت‌های مورد نیاز را باز بگذارید
قواعد فایروال را بر اساس کاربرد سرور تنظیم کنید. برای میزبانی یک وب‌سایت معمولی، معمولاً پورت‌های ۸۰ و ۴۴۳ باید در دسترس عموم باشند؛ دسترسی مدیریتی را می‌توان محدودتر کرد. برای سرویس‌های دیگر، پورت‌های مورد نیاز را از مستندات همان نرم‌افزار مشخص کنید.
پیش از فعال کردن فایروال، اجازه اتصال مدیریتی خودتان را ثبت کنید و از دسترسی به کنسول مطمئن شوید. بعد از اعمال تنظیمات، از یک اتصال دیگر وضعیت را بررسی کنید. اگر سرور IPv6 فعال دارد، قواعد آن را نیز کنترل کنید؛ بستن یک پورت در IPv4 الزاماً آن را در IPv6 نمی‌بندد.
۵. نرم‌افزارها و دسترسی دیتابیس را بررسی کنید
فقط نرم‌افزارهایی را نصب کنید که پروژه به آن‌ها نیاز دارد. سرویس‌های بلااستفاده را متوقف کنید و بسته‌های لازم را از منابع معتبر بگیرید. اجرای اسکریپت‌های نصب ناشناس با دسترسی root می‌تواند کنترل کامل سرور را در اختیار سازنده اسکریپت قرار دهد.
اگر برنامه و دیتابیس روی یک سرور هستند و اتصال خارجی لازم ندارید، دیتابیس را فقط روی آدرس محلی در دسترس قرار دهید. برای برنامه نیز کاربر دیتابیس جداگانه با مجوزهای لازم بسازید. رمز دیتابیس و کلیدهای برنامه نباید در مخزن عمومی کد یا فایل قابل دانلود از سایت قرار بگیرند.
۶. HTTPS و تنظیمات پایه را تکمیل کنید
برای وب‌سایت و پنل‌های تحت وب گواهی معتبر TLS نصب کنید تا ارتباط از طریق HTTPS انجام شود. تمدید گواهی را خودکار کنید و برای انقضای آن هشدار بگذارید. HTTPS اطلاعات در حال انتقال را رمزگذاری می‌کند؛ امنیت حساب‌های کاربری و خود نرم‌افزار همچنان به تنظیمات جداگانه نیاز دارد.
ساعت سرور را همگام کنید و نام میزبان مناسبی انتخاب کنید. زمان صحیح برای بررسی لاگ‌ها و پیگیری خطاها اهمیت دارد. در محیط اصلی نیز نمایش عمومی خطاهای فنی و حالت اشکال‌زدایی برنامه را غیرفعال کنید.
۷. بکاپ را روی مقصدی جداگانه نگه دارید
بکاپ را پیش از انتقال اطلاعات اصلی تنظیم کنید. فایل‌های سایت، دیتابیس و تنظیمات ضروری باید در برنامه پشتیبان‌گیری باشند. تناوب بکاپ به میزان تغییر اطلاعات بستگی دارد؛ برای فروشگاهی که روزانه سفارش می‌گیرد، از دست رفتن اطلاعات یک هفته ممکن است قابل قبول نباشد.
حداقل یک نسخه را خارج از همان سرور و با دسترسی جداگانه نگه دارید. در سرویس سرور مجازی های‌دیتا، تهیه بکاپ بر عهده کاربر است. علاوه بر بررسی گزارش موفقیت بکاپ، بازیابی آن را هم روی محیط جداگانه آزمایش کنید تا از سالم بودن فایل‌ها و امکان بازگرداندن سرویس مطمئن شوید.
۸. مانیتورینگ و هشدارها را فعال کنید
مصرف رم، پردازنده، فضای دیسک و وضعیت سرویس اصلی را پایش کنید. برای کاهش فضای خالی دیسک، قطع سرویس و شکست بکاپ هشدار بگذارید. اگر سرور میزبان سایت است، دسترسی به سایت را از بیرون سرور نیز بررسی کنید؛ روشن بودن ماشین به معنی درست کار کردن سایت نیست.
لاگ ورودها و خطاهای برنامه را مرتب مرور کنید. تلاش‌های ناموفق مکرر برای ورود، حساب کاربری ناشناس یا تغییر غیرمنتظره تنظیمات نیاز به بررسی دارند. دریافت هشدار را هم آزمایش کنید تا مطمئن شوید اعلان‌ها به مسئول سرور می‌رسند.
پیش از راه‌اندازی، نتیجه تنظیمات را آزمایش کنید
یک‌بار ورود مجاز، محدود بودن پورت‌ها، عملکرد سایت با HTTPS، دریافت هشدار و بازیابی بکاپ را بررسی کنید. تنظیمات مهم و مسئول رسیدگی به هر بخش را ثبت کنید. بعد از راه‌اندازی نیز همین موارد را به‌صورت دوره‌ای کنترل کنید و دسترسی افرادی را که دیگر با پروژه همکاری ندارند، بردارید.
