احمِ سيرفرك. كل الهجمات والتغييرات في لوحة واحدة.

يقرأ Fail2ban سجلات الخدمات ويحظر العناوين التي تفشل في المصادقة. تعرض اللوحة كل الـ jails في شاشة واحدة: كم عنوانًا محظور الآن، وكم منذ بدء تشغيل الخدمة، وأي jail أمسك بها. الـ jail الذي لم يمسك بأي شيء إطلاقًا يظهر بوضوح مثل العامل تمامًا — وغالبًا ما يعني ذلك أنه يقرأ ملف سجل خاطئًا.

IPSUM — قائمة عناوين تُحدَّث يوميًا لعناوين رُصدت وهي تهاجم سيرفرات آخرين. يحتفظ ipset بها في ذاكرة النواة، لذا لا يُثقِل فحص مئات آلاف العناوين جدار الحماية. تعرض اللوحة حجم القائمة ووقت آخر تحديث: إنها حماية قبل أول محاولة — يُحجب العنوان قبل أن يصل إلى الخدمة.

يُجري Lynis مئات الفحوص للإعدادات ويُخرج hardening index — تقييمًا من 100. تُحلّل اللوحة التقرير وتعرض التحذيرات والتوصيات مع مُعرّف الفحص لتتمكّن من الاطّلاع على معنى كلٍّ منها. الوصول إلى 100 من 100 ليس هدفًا: بعض التوصيات مكتوبة لسيناريوهات غير موجودة على سيرفرك.

يقوم ModSecurity المزوّد بمجموعة قواعد OWASP CRS بترشيح طلبات HTTP داخل سيرفر الويب — بعد فك التشفير، حيث يظهر محتوى الطلب. يقرأ المراقب سجل التدقيق: أي طلب حُظر، وأي قاعدة تفعّلت، وما كانت درجة الشذوذ، ومن أين أتى الطلب. يُنظر إلى هنا قبل كل شيء بحثًا عن الإنذارات الكاذبة: القاعدة نفسها التي تُوقِع نموذجك أنت مرارًا وتكرارًا.

يحلّل Suricata حركة الشبكة وفق التواقيع ويكتب النتائج في eve.json. تقرأ اللوحة هذا الملف مباشرة على السيرفر وتعرض تنبيهات آخر 24 ساعة مجمّعة حسب الفئات، دون Elasticsearch وKibana اللذين يستهلكان على VPS واحد أكثر من الجهاز المُراقَب نفسه. التثبيت الجديد يبقى صامتاً حتى يعمل suricata-update مرة واحدة على الأقل: فلا قواعد فيه بعد.

يحلّل CrowdSec السجلات وفق سيناريوهات ويتخذ قرارات الحظر، مستنداً أيضاً إلى العناوين التي أبلغ عنها مشاركون آخرون في الشبكة — فالمهاجم يأتي غالباً وهو معروف مسبقاً. تعرض اللوحة القرارات السارية مع السيناريو والوقت المتبقي، وبجانبها الـbouncer المسجَّلة التي تنفّذ هذه القرارات. إذا كانت القائمة الثانية فارغة، فإن CrowdSec يكتفي بالتنبيه دون حظر أي شيء.

يراقب Falco استدعاءات النظام ويُطلق تنبيهًا عندما يقوم عملية بما لا يخصها: تشغيل صدفة من سيرفر الويب، أو الكتابة في دليل الملفات الثنائية للنظام، أو فتح اتصال صادر غير متوقع. تعرض اللوحة التنبيهات مع الأولوية والقاعدة التي تفعّلت وسطر أوامر العملية. لا حاجة إلى Kubernetes لذلك — يعمل Falco على السيرفر العادي بالطريقة نفسها.

مضاد الفيروسات على Linux لا يحمي ملفاته الثنائية، بل ما يصل إلى السيرفر من الخارج: web shells عبر نموذج الرفع، مرفقات عبر سيرفر البريد، حمولات خبيثة في المجلدات المؤقتة. تعرض اللوحة وقت آخر فحص وما عثرت عليه، والأهم — حقل عمر قاعدة التواقيع. ClamAV بتواقيع عمرها أسبوع يخلق وهم الحماية ولا شيء أكثر.

يلتقط AIDE بصمة تشفيرية لنظام الملفات ويُبلغ بما تغيّر منذ الفحص السابق، فيجيب عن السؤال الذي تتفاداه بقية الأدوات: ما الذي جرى المساس به. تعرض اللوحة ثلاث قوائم: الملفات المُضافة والمُعدّلة والمحذوفة إلى جانب السمات المتباينة. غالبًا ما يعود تقرير الصباح الأكثر شيوعًا إلى تحديثات الحزم الليلية — تحقّق من التوقيت وأعد بناء القاعدة.

يسجّل خادم التدقيق بالضبط الأحداث التي طُلب منه تسجيلها: تغييرات /etc/passwd و/etc/shadow، وتعديلات sshd_config، وتشغيل الملفات الثنائية لرفع الصلاحيات. تعرض اللوحة القواعد المحمّلة الآن، والمسارات المُراقَبة، والأحداث الحديثة مع العملية والنتيجة. رؤية القواعد لا تقل أهمية عن رؤية الأحداث: المجموعة الفارغة هي السبب الأكثر شيوعًا لأن يبدو auditd عاملًا بينما لا يسجّل أي شيء ذي قيمة.

يخلّصك UFW من تعقيد صياغة iptables، لكنه لا يساعدك على فهم مجموعة القواعد بعد أشهر. تعرض اللوحة القواعد مع الإجراء والمنفذ والبروتوكول والمصدر، وتُبرز في المقدمة السياسات الافتراضية للحركة الواردة والصادرة — وهي غالبًا ما يُنسى أمرها. مجموعة قواعد تبدو صارمة لا تعني شيئًا إذا بقيت السياسة الافتراضية على allow.

```html

مَن يمسح المنافذ لا يترك أي محاولة دخول فاشلة، لذلك لا يراه Fail2ban. يسدّ PSAD هذه الثغرة: فهو يقرأ سجلات جدار الحماية عن الحركة المرفوضة ويقيّم ما يعثر عليه. تعرض اللوحة العناوين المُعلَّمة، ومستوى الخطورة من 1 إلى 5، وعدد الحزم والمنافذ. بدون قاعدة تسجيل في جدار الحماية يبقى PSAD صامتًا — وهذا هو السبب المعتاد لظهور صفحة فارغة بعد التثبيت.

حلّ التجديد التلقائي معظم المشكلة وأنشأ نسخة أهدأ منها: الشهادات تجدّد نفسها بنفسها — حتى اليوم الذي تتوقّف فيه، فيكون الزائر أول من يكتشف ذلك. تسرد اللوحة الشهادات التي يقدّمها السيرفر: الجهة المُصدِرة، وتاريخ الانتهاء، والأيام المتبقية. وجود أقل من ثلاثين يومًا لشهادة ذات تجديد تلقائي يعني أن التجديد يفشل بصمت منذ فترة.

تعرض الخريطة العناوين التي حظرها سيرفرك الخاص، مُحوّلة إلى بلدانها ومُقاسة بحجمها حسب عدد الإصابات. هذا ليس تدفّق بيانات تهديدات مُشترى من طرف خارجي: كل نقطة هي حركة مرور وصلت فعلاً إلى هذا الجهاز. تظهر فائدة الخريطة مع مرور الوقت: فتكدّس النقاط من شبكة واحدة يعني عادةً منفّذاً وحيداً يمرّ عبر قائمة، أما التوزّع المتساوي فهو ضجيج الإنترنت المعتاد.

يجمع Logwatch سجلات اليوم في تقرير واحد ويرسله بالبريد — حيث ينتهي به المطاف خلال أسبوعين في مجلد لا يفتحه أحد. لم تكن المعلومات هي المشكلة قط، بل كان التوصيل هو المشكلة. تحتفظ اللوحة بالتقارير على السيرفر وتعرضها في صفحات، مع أرشيف للأيام السابقة: يوم واحد يخبرك بما حدث، والأسبوع يخبرك بما تغيّر.

يراقب Monit العمليات والملفات وأنظمة الملفات والعُقد، ويعيد تشغيل ما يجده معطّلاً. تعرض اللوحة كل فحص مع حالته الراهنة والكائن المراقَب وعدد التدخّلات. عدّاد عمليات إعادة التشغيل هو أصدق حقل: الخدمة التي أُعيد تشغيلها أربعين مرة ليست سليمة، بل تنهار مرارًا وتكرارًا، وعمليات إعادة التشغيل تُخفي ذلك.

الدخول إلى اللوحة عبر مفتاح أمان أو Touch ID أو Face ID بدلاً من كلمة مرور ثانية. يؤكد المفتاح الدومين على مستوى البروتوكول، لذا لن تنجح نسخة من صفحة الدخول على عنوان مشابه — فلا شيء للتصيّد كي يعترضه. يمكن تسجيل عدة مفاتيح، لكل منها اسمه الخاص ووقت آخر استخدام، وإلغاء أيٍّ منها على حدة.

ما الذي يمكن الوصول إليه على هذا الجهاز من الخارج هو أكثر أسئلة الأمان فائدة، ومخرجات ss يجب إعادة قراءتها بالعين في كل مرة. تعرض اللوحة السوكيتات المستمعة مع المنفذ والبروتوكول وعنوان الربط والعملية، وأسفلها الاتصالات القائمة. أول ما ينبغي قراءته هو عنوان الربط: الخدمة على 127.0.0.1 متاحة من الجهاز نفسه فقط، والخدمة ذاتها على 0.0.0.0 متاحة للإنترنت كله.

يجيب Top عن سؤال يخصّ اللحظة الحالية، بينما يكون السؤال عادةً عن الليلة الماضية. يضيف المُجمِّع سطرًا إلى قاعدة البيانات كل خمس دقائق، وتعرض الصفحة منه بيانات آخر يوم: load average، وCPU وI/O wait كلٌّ على حدة، والذاكرة وswap، والشبكة، والقرص، واتصالات TCP، وواصفات الملفات. من الأفضل قراءة الرسوم البيانية أزواجًا: ارتفاع I/O wait مع هدوء CPU يعني أن السيرفر ينتظر القرص، ولا فائدة من إضافة أنوية معالجة.

مشاكل الأقراص نوعان مختلفان تمامًا: قرص بدأ يتعطّل، ونظام ملفات يمتلئ ويجرّ معه الخدمات إلى التوقف. تغطّي اللوحة كليهما — امتلاء الأقسام وسمات SMART ودرجة الحرارة. ثلاث سمات تنذر بالعطل: القطاعات المُعاد تعيينها، والمعلّقة، وغير القابلة للإصلاح دون اتصال. وتُعرض قيم inode بشكل منفصل — فهي تنفد قبل المساحة الحرة وتفسّر عمليات الكتابة التي تفشل رغم توفّر مساحة على القرص.

التحكم الإلزامي بالوصول يقرّر ما يُسمح للبرنامج بفعله بغضّ النظر عن صلاحيات المستخدم الذي شغّله. AppArmor مثبّت على معظم سيرفرات Ubuntu وDebian، وعلى كثير منها لا يقيّد شيئًا تقريبًا. تعرض اللوحة الملفات التعريفية المحمّلة مع وضعها، والعمليات الخاضعة للتقييد، والأهم — العمليات بلا ملف تعريفي إطلاقًا. الملف التعريفي في وضع complain يسجّل فقط ما كان سيحظره؛ أما التقييد الفعلي فيكون في وضع enforce فقط.