تأمين الخادم المخصص: إعداد الأمان من الصفر

لماذا أمان السيرفر المخصص مسؤوليتك؟

لو تملك سيرفر مخصص أو VPS بصلاحيات root، فأمان السيرفر مسؤوليتك بالكامل. مزود الاستضافة يضمن الشبكة والبنية التحتية الفيزيائية، لكن كل شيء داخل نظام التشغيل — من إعدادات الجدار الناري إلى صلاحيات المستخدمين — عليك أنت. هذا الدليل يغطي الخطوات الأساسية لتأمين سيرفر Linux جديد من الصفر.

الخطوة 1: تحديث النظام فوراً

أول شيء بعد تسلّم السيرفر — حدّث كل الحزم:

Ubuntu/Debian:

apt update && apt upgrade -y

CentOS/AlmaLinux:

dnf update -y

التحديثات تسد ثغرات معروفة. سيرفر بدون تحديثات = باب مفتوح. فعّل التحديثات التلقائية للحزم الأمنية:

apt install unattended-upgrades -y
dpkg-reconfigure -plow unattended-upgrades

الخطوة 2: إنشاء مستخدم غير root

تسجيل الدخول بـ root مباشرة خطر أمني. أنشئ مستخدم جديد وأعطه صلاحيات sudo:

adduser admin
usermod -aG sudo admin

بعدها عطّل تسجيل الدخول بـ root عبر SSH:

PermitRootLogin no

في ملف /etc/ssh/sshd_config.

الخطوة 3: تأمين SSH

SSH هو بوابة الدخول الرئيسية لسيرفرك. تأمينه أولوية:

تغيير المنفذ الافتراضي

غيّر من المنفذ 22 إلى منفذ عشوائي (مثلاً 2847):

Port 2847

استخدام مفاتيح SSH بدل كلمات المرور

ssh-keygen -t ed25519 -C "admin@company.com"
ssh-copy-id -p 2847 admin@server-ip

بعد التأكد من عمل المفتاح، عطّل تسجيل الدخول بكلمة المرور:

PasswordAuthentication no

تفعيل المصادقة الثنائية (2FA)

apt install libpam-google-authenticator -y
google-authenticator

هذا يضيف طبقة حماية إضافية حتى لو تسرّب مفتاح SSH.

الخطوة 4: إعداد الجدار الناري

UFW (Ubuntu/Debian)

ufw default deny incoming
ufw default allow outgoing
ufw allow 2847/tcp # SSH
ufw allow 80/tcp # HTTP
ufw allow 443/tcp # HTTPS
ufw enable

firewalld (CentOS/AlmaLinux)

firewall-cmd --permanent --add-port=2847/tcp
firewall-cmd --permanent --add-service=http
firewall-cmd --permanent --add-service=https
firewall-cmd --reload

القاعدة الذهبية: كل المنافذ مغلقة افتراضياً، وتفتح فقط ما تحتاجه.

الخطوة 5: تثبيت Fail2Ban

Fail2Ban يحمي من هجمات القوة الغاشمة بحظر عناوين IP بعد محاولات فاشلة:

apt install fail2ban -y

إعدادات SSH:

[sshd]
enabled = true
port = 2847
maxretry = 3
bantime = 3600
findtime = 600

هذا يحظر أي IP يفشل في تسجيل الدخول 3 مرات خلال 10 دقائق لمدة ساعة كاملة.

الخطوة 6: تشفير البيانات

شهادات SSL/TLS

apt install certbot python3-certbot-nginx -y
certbot --nginx -d example.com -d www.example.com

تشفير الأقراص

لو تتعامل مع بيانات حساسة، فعّل تشفير القرص باستخدام LUKS:

cryptsetup luksFormat /dev/sdb
cryptsetup luksOpen /dev/sdb encrypted-data

الخطوة 7: النسخ الاحتياطي المشفّر

النسخ الاحتياطي بدون تشفير = ثغرة أمنية. استخدم نسخ احتياطي مشفّر:

البند	التوصية
التكرار	يومي + أسبوعي + شهري
التشفير	AES-256
التخزين	موقع منفصل عن السيرفر
الاختبار	استعادة تجريبية كل شهر
الاحتفاظ	7 أيام يومي + 4 أسابيع أسبوعي + 3 شهور شهري

كلاود يوفّر خدمة نسخ احتياطي يومي تبدأ من بأسعار مناسبة — الأسعار والباقات مع احتفاظ 7 أيام، أو بأسعار مناسبة — الأسعار والباقات مع احتفاظ 30 يوم.

الخطوة 8: المراقبة والتسجيل

سجلات النظام

journalctl -f # متابعة مباشرة
cat /var/log/auth.log # محاولات الدخول
cat /var/log/syslog # سجل النظام

أدوات المراقبة

• Netdata — مراقبة مباشرة مجانية
• Prometheus + Grafana — للمراقبة المتقدمة
• Lynis — فحص أمني شامل للسيرفر

فعّل التنبيهات على:

• استهلاك CPU فوق 90%
• استهلاك RAM فوق 85%
• مساحة القرص أقل من 10%
• محاولات دخول فاشلة متكررة

قائمة مراجعة سريعة

البند	الحالة
تحديث النظام	مطلوب فوراً
مستخدم غير root	مطلوب
SSH بمفاتيح + منفذ مخصص	مطلوب
جدار ناري	مطلوب
Fail2Ban	مطلوب
SSL/TLS	مطلوب
نسخ احتياطي مشفّر	مطلوب
مراقبة وتنبيهات	مطلوب
تحديثات تلقائية	موصى به
2FA	موصى به

الخلاصة

تأمين السيرفر مو عملية لمرة واحدة — هو عملية مستمرة. ابدأ بالأساسيات المذكورة أعلاه، وبعدها طوّر حسب احتياجاتك. السيرفر الآمن يبدأ ببنية تحتية موثوقة. كلاود يوفّر سيرفرات في مراكز بيانات سعودية بمعايير Tier III مع حماية DDoS متاحة كإضافة بـ بأسعار مناسبة.

---

ابدأ الآن

تبي بيئة آمنة لتطبيقاتك؟ اختر سيرفر محمي بحماية DDoS وجدار ناري متقدم. راجع اتفاقية مستوى الخدمة وسياسة الخصوصية.