وقتی سرور ابری تحویل می‌گیرید، معمولاً یک IP عمومی، یک نام کاربری و یک رمز در اختیار دارید و وسوسه می‌شوید همان روز نرم‌افزار را نصب کنید. اما سروری که IP عمومی دارد، در همان ساعت‌های اول توسط ربات‌هایی که اینترنت را برای پورت‌های باز و رمزهای ضعیف اسکن می‌کنند پیدا می‌شود. چند ساعت وقت گذاشتن در ابتدای کار، جلوی هفته‌ها دردسر بعدی را می‌گیرد.
مسئولیت امنیت با کیست؟
در بیشتر سرویس‌های سرور ابری، ارائه‌دهنده مسئول سخت‌افزار، برق، شبکه دیتاسنتر و بستر مجازی‌سازی است؛ اما امنیت داخل سیستم‌عامل، یعنی حساب‌ها، به‌روزرسانی، نرم‌افزارها و پورت‌های باز، با مشتری است، مگر اینکه سرویس مدیریت‌شده گرفته باشید. همین اول کار روشن کنید کدام بخش با شماست.
قدم‌های اول به ترتیب
- رمز اولیه را عوض کنید: رمزی که برای شما فرستاده شده، احتمالاً در ایمیل یا پیام‌رسان مانده است. همان ابتدا یک رمز طولانی و یکتا بگذارید.
- سیستم‌عامل را کامل به‌روز کنید: تصویر اولیه سیستم‌عامل ممکن است ماه‌ها قدیمی باشد. پیش از هر کاری همه به‌روزرسانی‌های امنیتی را نصب و سرور را ری‌استارت کنید.
- حساب مدیریتی شخصی بسازید: به‌جای کار با حساب پیش‌فرض، برای هر مدیر حساب جدا بسازید و حساب‌های پیش‌فرض را غیرفعال یا محدود کنید.
- دسترسی مدیریتی را محدود کنید: پورت مدیریت (RDP یا SSH) را برای کل اینترنت باز نگذارید؛ فقط به IP ثابت دفتر یا از طریق VPN اجازه دهید.
- فایروال را با رویکرد «همه بسته، جز موارد لازم» تنظیم کنید: فقط پورت‌هایی باز باشد که سرویس واقعاً به آن‌ها نیاز دارد، مثلاً
443برای سایت. - قفل حساب پس از تلاش‌های ناموفق را فعال کنید تا حدس زدن رمز عملاً ممکن نباشد.
تغییر پورت پیش‌فرض RDP یا SSH حجم اسکن‌های خودکار را کم می‌کند، اما جایگزین محدودسازی IP، VPN و رمز قوی نیست.
فایروال در دو لایه
اگر ارائه‌دهنده در پنل خود فایروال یا گروه امنیتی دارد، از آن هم در کنار فایروال سیستم‌عامل استفاده کنید. فایروال بیرونی ترافیک ناخواسته را پیش از رسیدن به سرور متوقف می‌کند و اگر فایروال سیستم‌عامل به اشتباه خاموش شود، سرور کاملاً بی‌دفاع نمی‌ماند. بعد از تنظیم، از یک اتصال بیرون از شبکه بررسی کنید که واقعاً فقط پورت‌های مورد نظر باز هستند.
سرویس‌های اضافه و نرم‌افزارها
- نقش‌ها، سرویس‌ها و نرم‌افزارهایی را که لازم ندارید نصب نکنید یا حذف کنید.
- سرویس‌هایی مثل دیتابیس را فقط روی شبکه داخلی یا
localhostدر دسترس بگذارید، نه روی IP عمومی. - آنتی‌ویروس یا ابزار حفاظت نقطه پایانی مناسب سیستم‌عامل را نصب و به‌روز نگه دارید.
بکاپ و پایش از همان روز اول
پیش از انتقال اطلاعات واقعی، بکاپ را راه‌اندازی کنید و یک‌بار بازیابی را امتحان کنید. نسخه‌ای از بکاپ باید بیرون از همان سرور و ترجیحاً بیرون از همان حساب کاربری در پنل ارائه‌دهنده باشد. لاگ ورودها را هم فعال نگه دارید و ورودهای ناموفق را دوره‌ای بررسی کنید؛ افزایش ناگهانی آن‌ها نشانه هدف قرار گرفتن سرور است.
چک‌لیست
- رمز اولیه عوض شده و حساب‌های شخصی ساخته شده‌اند.
- سیستم‌عامل کامل به‌روز است.
- پورت مدیریت فقط از IPهای مشخص یا VPN در دسترس است.
- فقط پورت‌های لازم باز است و این موضوع از بیرون بررسی شده است.
- دیتابیس و سرویس‌های داخلی روی IP عمومی در دسترس نیستند.
- بکاپ بیرون از سرور تنظیم و تست شده است.
سرور ابری امن از روز اول ساخته می‌شود، نه بعد از اولین حمله. کارشناسان ITPlus724 می‌توانند سرور ابری شما را پیش از استفاده امن و آماده کنند یا تنظیمات سرور فعلی‌تان را بازبینی کنند.