تحصين خادم لينكس: قائمة تحقق عملية لعام ٢٠٢٦

تحصين خادم لينكس في ٢٠٢٦ يتطلب مقاربة طبقات — لا يكفي إجراء واحد. هذه القائمة العملية تغطي الأساسيات التي يجب أن يطبّقها كل مدير نظام قبل تعريض أي خدمة للإنترنت.

١. الخط الأساسي

• ثبّت آخر إصدار LTS من التوزيعة.
• احذف الحزم غير المستخدمة: apt autoremove --purge.
• عطّل الخدمات غير الضرورية عبر systemctl disable.

٢. التحكم بالوصول

اعتمد مبدأ أقل الامتيازات. كل مستخدم يحصل فقط على الصلاحيات اللازمة لعمله. راجع سجلات /etc/sudoers.d/ بانتظام.

٣. AppArmor أو SELinux

فعّل واحداً منهما لعزل التطبيقات. AppArmor أسهل، SELinux أقوى. لا تعطّلهما — بل اضبطهما.

٤. التسجيل المركزي

أرسل السجلات إلى خادم مركزي (Loki, Graylog, أو ELK). المهاجم غالباً ما يمسح السجلات المحلية، فالنسخة الخارجية هي دليلك.

٥. كشف الجذور الخفية

أدوات مثل rkhunter وchkrootkit تُشغّل دورياً عبر cron لكشف أي تلاعب في ثنائيات النظام.

٦. تحصين الخدمات

• Nginx: أضف رؤوس أمنية (HSTS، CSP، X-Frame-Options).
• MySQL/Postgres: لا تسمح بالاتصال من الإنترنت العام مطلقاً.
• Docker: لا تشغّل حاويات كـ root.

٧. الفحص الدوري

استخدم Lynis أو OpenVAS لفحص التكوين. شغّل الفحص شهرياً وأصلح الثغرات المكتشفة.

الخلاصة

الأمان طبقات: تحديث، عزل، مراقبة، ونسخ احتياطية. اجعل هذه القائمة جزءاً من روتينك الشهري لا مهمة تُنفَّذ مرة واحدة.

أسئلة شائعة

هل SELinux معقّد جداً للمبتدئين؟

نعم إلى حدٍ ما. ابدأ بـ AppArmor على Ubuntu/Debian، وانتقل لاحقاً إلى SELinux على RHEL.

هل تُغني الحاويات (Containers) عن التحصين؟

لا. الحاويات تشارك نواة المضيف؛ ضعف المضيف يعني ضعف كل الحاويات.