قائمة التدقيق الأمني للسيرفرات: 20 نقطة

لماذا التدقيق الأمني ضروري؟

التدقيق الأمني هو فحص منهجي شامل لأنظمتك وسيرفراتك لاكتشاف نقاط الضعف قبل أن يستغلها أحد. الفرق بينه وبين اختبار الاختراق: التدقيق يراجع كل شي (سياسات، إعدادات، صلاحيات، بنية تحتية) — بينما اختبار الاختراق يركّز على محاولة الاستغلال الفعلي.

القاعدة: تدقيق أمني كامل كل 6 أشهر كحد أدنى. تدقيق سريع شهري للبنود الحرجة.

قائمة التدقيق الشاملة

القسم 1: نظام التشغيل

البند	الفحص	الحالة
تحديثات النظام	كل التحديثات الأمنية مثبّتة
نسخة النظام	نسخة مدعومة وليست EOL
kernel	آخر إصدار مستقر
خدمات غير ضرورية	معطّلة وليست مثبّتة
مزامنة الوقت	NTP مفعّل ويعمل
ملفات مؤقتة	/tmp مع noexec,nosuid

أوامر الفحص:

# تحديثات معلّقة
apt list --upgradable 2>/dev/null | wc -l

# نسخة النظام
cat /etc/os-release

# خدمات تعمل
systemctl list-units --type=service --state=running

# مزامنة الوقت
timedatectl status

القسم 2: إدارة المستخدمين والصلاحيات

• حساب root معطّل للدخول عبر SSH
• لا يوجد مستخدمين بكلمات مرور فارغة
• كل مستخدم له صلاحيات محددة (لا يوجد sudo بلا قيود)
• مستخدمين غير نشطين محذوفين أو معطّلين
• سياسة كلمات مرور مفعّلة (طول + تعقيد + انتهاء)
• مراجعة ملف sudoers

# مستخدمين بدون كلمة مرور
awk -F: '($2 == "" ) {print $1}' /etc/shadow

# مستخدمين بصلاحيات sudo
getent group sudo

# آخر دخول لكل مستخدم
lastlog | grep -v "Never"

# فحص sudoers
cat /etc/sudoers | grep -v "^#" | grep -v "^$"

القسم 3: SSH

البند	القيمة المطلوبة
PermitRootLogin	no
PasswordAuthentication	no (مفاتيح SSH فقط)
Port	غير 22
MaxAuthTries	3
LoginGraceTime	30
AllowUsers	محدد بأسماء المستخدمين
Protocol	2
X11Forwarding	no

# فحص إعدادات SSH
sshd -T | grep -E "permitrootlogin|passwordauthentication|port|maxauthtries"

القسم 4: جدار الحماية

• جدار الحماية مفعّل (UFW أو iptables)
• سياسة افتراضية: رفض الوارد
• المنافذ المفتوحة محددة ومعروفة
• لا منافذ مفتوحة غير ضرورية
• تسجيل المحاولات المرفوضة مفعّل

# حالة UFW
ufw status verbose

# المنافذ المفتوحة فعلياً
ss -tulnp

# قواعد iptables
iptables -L -n -v

القسم 5: التشفير وSSL

• كل المواقع تعمل عبر HTTPS
• شهادات SSL صالحة وغير منتهية
• TLS 1.2 كحد أدنى (TLS 1.3 مفضّل)
• تعطيل SSL 2.0/3.0 وTLS 1.0/1.1
• HSTS مفعّل
• تشفير قواعد البيانات الحساسة

# فحص شهادة SSL
openssl s_client -connect yourdomain.com:443 -tls1_3

# فحص تاريخ انتهاء الشهادة
echo | openssl s_client -servername yourdomain.com -connect yourdomain.com:443 2>/dev/null | openssl x509 -noout -dates

القسم 6: النسخ الاحتياطي

البند	المعيار
تكرار النسخ	يومي للبيانات، أسبوعي للنظام
الاحتفاظ	7 أيام يومي + 4 أسابيع أسبوعي
نسخة خارجية	موجودة في موقع مختلف
تشفير النسخ	مفعّل
اختبار الاستعادة	شهري
توثيق الإجراء	محدّث

القسم 7: المراقبة والسجلات

• سجلات النظام (syslog) تعمل وتُحفظ
• مدة الاحتفاظ: 12 شهر كحد أدنى (متطلب NCA)
• تنبيهات فورية لمحاولات الدخول الفاشلة
• مراقبة استخدام الموارد (CPU, RAM, Disk)
• fail2ban مثبّت ومفعّل
• مراجعة السجلات أسبوعياً

# حالة fail2ban
fail2ban-client status

# حجم السجلات
du -sh /var/log/

# آخر محاولات دخول فاشلة
journalctl _SYSTEMD_UNIT=sshd.service | grep "Failed" | tail -20

القسم 8: التطبيقات وقواعد البيانات

• تطبيقات الويب محدّثة لآخر إصدار
• قاعدة البيانات لا تقبل اتصالات خارجية (bind 127.0.0.1)
• مستخدم قاعدة البيانات بصلاحيات محدودة (ليس root)
• لا توجد قواعد بيانات افتراضية (test, sample)
• تشفير الاتصال بين التطبيق وقاعدة البيانات

جدول التدقيق الدوري

النوع	التكرار	المدة
فحص سريع (SSH, Firewall, Updates)	أسبوعي	30 دقيقة
تدقيق متوسط (كل الأقسام)	شهري	2-4 ساعات
تدقيق شامل + اختبار اختراق	كل 6 أشهر	2-5 أيام

أتمتة التدقيق

أدوات مجانية تساعدك:

• Lynis — فحص أمني شامل لنظام Linux
• OpenSCAP — فحص امتثال معايير الأمان
• CIS Benchmarks — معايير أمان مرجعية لكل نظام

# تثبيت وتشغيل Lynis
apt install lynis -y
lynis audit system

ابدأ بسيرفر مؤمّن

سيرفرات كلاود (cloud.net.sa) في الرياض تأتي بإعدادات أمان أساسية مسبقة. جدار ناري، عزل بين الحسابات، وحماية DDoS متوفرة كإضافة. أساس آمن يختصر عليك نصف قائمة التدقيق.

---

ابدأ الآن

تبي بيئة آمنة لتطبيقاتك؟ اختر سيرفر محمي بحماية DDoS وجدار ناري متقدم. راجع اتفاقية مستوى الخدمة وسياسة الخصوصية.