دليل عملي: تحصين خادم لينكس جديد في 30 دقيقة — من أول تسجيل دخول إلى جدار ناري وتحديثات تلقائية

1. حدّث النظام

sudo apt update && sudo apt upgrade -y

2. أنشئ مستخدمًا غير جذري

adduser deploy
usermod -aG sudo deploy

العمل اليومي بحساب root عادة سيئة: أي خطأ في أمر، أو أي سكربت خبيث، يملك كل شيء فورًا.

3. مفاتيح SSH بدل كلمات المرور

على جهازك (لا على الخادم):

ssh-keygen -t ed25519 -C "laptop"
ssh-copy-id deploy@SERVER_IP

ثم على الخادم عطّل كلمات المرور وتسجيل دخول root:

sudo tee /etc/ssh/sshd_config.d/99-hardening.conf <<EOF
PermitRootLogin no
PasswordAuthentication no
MaxAuthTries 3
EOF
sudo systemctl restart ssh

4. جدار ناري: افتح ما تحتاجه فقط

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw allow 80,443/tcp
sudo ufw enable

5. fail2ban ضد التخمين

sudo apt install -y fail2ban
sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

6. تحديثات أمنية تلقائية

sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

7. مزامنة الوقت وسجلات نظيفة

سجلات بتوقيت خاطئ تعقّد أي تحقيق لاحق. تأكد أن timedatectl يعرض System clock synchronized: yes.

8. اختبر من الخارج

# من جهازك: يجب أن يظهر منفذا 22 و443 فقط
nmap -Pn SERVER_IP

ما بعد الثلاثين دقيقة

• نسخ احتياطية خارج الخادم، ومحاولة استعادة فعلية مرة كل ربع سنة.
• مراقبة بسيطة: تنبيه إن توقفت الخدمة أو امتلأ القرص.
• مراجعة last وjournalctl -u ssh أسبوعيًا لملاحظة ما هو غير مألوف.

«الخادم غير المحصَّن ليس خادمك؛ أنت فقط أول من يستخدمه.»