از سرور خود محافظت کنید. همه حملات و تغییرات در یک داشبورد.

Fail2ban گزارش‌های سرویس‌ها را می‌خواند و آدرس‌هایی را که احراز هویت نمی‌شوند بن می‌کند. پنل همه jailها را در یک صفحه نشان می‌دهد: اکنون چند آدرس بن شده، از زمان اجرای سرویس چند آدرس، و کدام jail آن‌ها را گرفته است. jailی که اصلاً چیزی نگرفته، به همان روشنی jail فعال دیده می‌شود — که اغلب یعنی فایل گزارش اشتباهی را می‌خواند.

IPSUM فهرستی است که روزانه به‌روزرسانی می‌شود و شامل آدرس‌هایی است که در حمله به سرورهای دیگر شناسایی شده‌اند. Ipset آن را در حافظه کرنل نگه می‌دارد، بنابراین بررسی صدها هزار آدرس باری بر فایروال وارد نمی‌کند. پنل اندازه فهرست و زمان آخرین به‌روزرسانی را نشان می‌دهد: این حفاظتی پیش از نخستین تلاش است — آدرس پیش از رسیدن به سرویس مسدود می‌شود.

Lynis صدها بررسی پیکربندی را اجرا می‌کند و شاخص hardening — امتیازی از ۱۰۰ — ارائه می‌دهد. پنل گزارش را تحلیل می‌کند و هشدارها و توصیه‌ها را همراه با شناسه تست نمایش می‌دهد تا بتوانید معنای هر کدام را ببینید. ۱۰۰ از ۱۰۰ هدف نیست: بخشی از توصیه‌ها برای سناریوهایی نوشته شده که روی سرور شما وجود ندارند.

ModSecurity با مجموعه قوانین OWASP CRS درخواست‌های HTTP را درون وب‌سرور فیلتر می‌کند — پس از رمزگشایی، جایی که محتوای درخواست قابل مشاهده است. پنل گزارش ممیزی را می‌خواند: چه درخواستی مسدود شده، چه قانونی فعال شده، امتیاز ناهنجاری چقدر بوده و درخواست از کجا آمده است. اینجا را بیش از هر چیز برای شناسایی هشدارهای نادرست می‌بینند: یک قانون که بارها فرم خودتان را می‌گیرد.

Suricata ترافیک شبکه را بر اساس امضاها تحلیل می‌کند و یافته‌ها را در eve.json می‌نویسد. پنل این فایل را مستقیماً روی سرور می‌خواند و هشدارهای ۲۴ ساعت گذشته را دسته‌بندی‌شده نمایش می‌دهد — بدون Elasticsearch و Kibana که روی یک VPS بیش از خودِ ماشین تحت نظارت جا می‌گیرند. نصب تازه تا زمانی که suricata-update دست‌کم یک‌بار اجرا نشود ساکت می‌ماند: هنوز هیچ قانونی در آن نیست.

CrowdSec لاگ‌ها را بر اساس سناریوها تحلیل می‌کند و علاوه بر آن، بر پایه آدرس‌هایی که سایر اعضای شبکه گزارش داده‌اند درباره مسدودسازی تصمیم می‌گیرد — مهاجم اغلب از پیش شناخته‌شده وارد می‌شود. این پنل تصمیم‌های فعال را همراه با سناریو و زمان باقی‌مانده نشان می‌دهد و در کنار آن‌ها bouncer-های ثبت‌شده‌ای که این تصمیم‌ها را اجرا می‌کنند. اگر فهرست دوم خالی باشد، CrowdSec فقط هشدار می‌دهد و چیزی را مسدود نمی‌کند.

Falco فراخوانی‌های سیستمی را زیر نظر می‌گیرد و هر وقت یک فرایند کاری خارج از حیطه خود انجام دهد هشدار می‌دهد: اجرای یک پوسته از وب‌سرور، نوشتن در دایرکتوری باینری‌های سیستمی، یا باز کردن یک اتصال خروجی غیرمنتظره. داشبورد هشدارها را همراه با اولویت، قانون فعال‌شده و خط فرمان فرایند نمایش می‌دهد. برای این کار به Kubernetes نیازی نیست — Falco روی یک سرور معمولی هم به همین شکل کار می‌کند.

آنتی‌ویروس روی Linux باینری‌های خودش را محافظت نمی‌کند، بلکه چیزهایی را که از بیرون به سرور می‌رسند: وب‌شل‌ها از طریق فرم بارگذاری، پیوست‌ها از طریق سرور ایمیل، و بارهای مخرب در دایرکتوری‌های موقت. پنل زمان آخرین بررسی، یافته‌های آن و — مهم‌ترین فیلد — عمر پایگاه امضاها را نشان می‌دهد. ClamAV با امضاهای یک‌هفته‌ای فقط ظاهری از محافظت می‌سازد و نه چیزی بیشتر.

AIDE یک اثر رمزنگاری‌شده از سیستم فایل می‌گیرد و گزارش می‌دهد که از بررسی قبلی چه چیزی تغییر کرده است — پاسخی به پرسشی که سایر ابزارها از آن طفره می‌روند: چه چیزهایی دستکاری شده‌اند. پنل سه فهرست نشان می‌دهد: فایل‌های افزوده‌شده، تغییریافته و حذف‌شده به همراه ویژگی‌های ناهمخوان. رایج‌ترین گزارش صبحگاهی ناشی از به‌روزرسانی‌های شبانهٔ بسته‌هاست — زمان‌ها را مقایسه کنید و پایگاه را بازسازی کنید.

دیمن ممیزی دقیقاً همان رویدادهایی را ثبت می‌کند که از آن خواسته شده: تغییرات /etc/passwd و /etc/shadow، ویرایش‌های sshd_config، اجرای باینری‌های ارتقای دسترسی. پنل قوانین بارگذاری‌شده در همین لحظه، مسیرهای تحت نظر و رویدادهای اخیر همراه با فرآیند و نتیجه را نشان می‌دهد. دیدن قوانین کم‌اهمیت‌تر از دیدن رویدادها نیست: مجموعه خالی رایج‌ترین دلیلی است که باعث می‌شود auditd در حال کار به نظر برسد اما چیز باارزشی ثبت نکند.

UFW شما را از دستور و نحو iptables بی‌نیاز می‌کند، اما چند ماه بعد در فهم مجموعه قوانین کمکی نمی‌کند. این پنل قوانین را همراه با عمل، پورت، پروتکل و منبع نشان می‌دهد و سیاست‌های پیش‌فرض ترافیک ورودی و خروجی را جلوتر می‌آورد — چون معمولاً همین‌ها فراموش می‌شوند. مجموعه قوانینی که در ظاهر سخت‌گیرانه است، وقتی سیاست پیش‌فرض روی allow مانده باشد، هیچ ارزشی ندارد.

کسی که پورت‌ها را جاروب می‌کند، هیچ تلاش ناموفق ورودی از خود به‌جا نمی‌گذارد، بنابراین Fail2ban او را نمی‌بیند. PSAD این شکاف را پُر می‌کند: رکوردهای فایروال درباره ترافیک دورانداخته‌شده را می‌خواند و یافته‌ها را ارزیابی می‌کند. پنل آدرس‌های نشانه‌گذاری‌شده، سطح خطر از ۱ تا ۵، تعداد بسته‌ها و پورت‌ها را نشان می‌دهد. بدون قانون ثبت گزارش در فایروال، PSAD ساکت می‌ماند — و این همان دلیل رایج خالی‌بودن صفحه پس از نصب است.

تمدید خودکار بخش عمده‌ی مشکل را حل کرد و نسخه‌ی آرام‌تری از آن ساخت: گواهی‌ها خودشان را تمدید می‌کنند — تا روزی که دیگر این کار را نمی‌کنند و اولین کسی که متوجه می‌شود، بازدیدکننده است. داشبورد گواهی‌هایی را که سرور ارائه می‌دهد فهرست می‌کند: صادرکننده، تاریخ انقضا، روزهای باقی‌مانده. کمتر از سی روز برای گواهی‌ای با تمدید خودکار یعنی مدتی است که تمدید بی‌سروصدا انجام نمی‌شود.

نقشه، آدرس‌هایی را که سرور خودتان مسدود کرده نمایش می‌دهد؛ آن‌ها را تا سطح کشور تفکیک و بر اساس تعداد برخوردها مقیاس‌بندی می‌کند. این یک جریان داده‌ی تهدید خریداری‌شده از بیرون نیست: هر نقطه ترافیکی است که به همین ماشین رسیده است. ارزش واقعی نقشه در بلندمدت آشکار می‌شود: تراکم از یک شبکه معمولاً یعنی یک مهاجم واحد که فهرستی را دنبال می‌کند، و پراکندگی یکنواخت یعنی نویز عادی اینترنت.

Logwatch گزارش‌های شبانه‌روز را در یک گزارش واحد گرد می‌آورد و آن را ایمیل می‌کند — جایی که چند هفته بعد در پوشه‌ای می‌ماند که کسی سراغش نمی‌رود. مشکل هرگز اطلاعات نبود، بلکه رساندن آن بود. داشبورد گزارش‌ها را روی سرور نگه می‌دارد و آن‌ها را صفحه‌به‌صفحه، همراه با بایگانی روزهای پیشین نشان می‌دهد: یک روز می‌گوید چه رخ داده و یک هفته می‌گوید چه چیزی تغییر کرده است.

Monit فرآیندها، فایل‌ها، سیستم‌های فایل و گره‌ها را زیر نظر می‌گیرد و هر چیزی را که خراب بیابد دوباره راه‌اندازی می‌کند. داشبورد هر بررسی را با وضعیت فعلی، شیء تحت نظارت و تعداد مداخله‌ها نمایش می‌دهد. شمارنده راه‌اندازی‌های مجدد صادقانه‌ترین فیلد است: سرویسی که چهل بار راه‌اندازی مجدد شده سالم نیست؛ بارها و بارها از کار می‌افتد و راه‌اندازی‌های مجدد این را پنهان می‌کنند.

ورود به پنل با کلید سخت‌افزاری، Touch ID یا Face ID به‌جای رمز دوم. کلید در سطح پروتکل دامنه را تأیید می‌کند، بنابراین نسخهٔ کپی‌شدهٔ صفحهٔ ورود روی آدرسی مشابه کار نمی‌کند — فیشینگ چیزی برای ربودن ندارد. می‌توانید چند کلید ثبت کنید، هر کدام با نام و زمان آخرین استفادهٔ خود، و هر یک را جداگانه باطل کنید.

اینکه از بیرون چه چیزی روی این ماشین قابل دسترسی است، مفیدترین پرسش امنیتی است و خروجی ss را باید هر بار با چشم بازخوانی کرد. این پنل سوکت‌های در حال گوش‌دادن را همراه با پورت، پروتکل، آدرس اتصال و پردازه نمایش می‌دهد و در پایین، اتصال‌های برقرارشده را. اول از همه باید آدرس اتصال را خواند: سرویسی روی 127.0.0.1 فقط از خود ماشین در دسترس است، اما همان سرویس روی 0.0.0.0 برای کل اینترنت.

‏Top به وضعیت همین لحظه پاسخ می‌دهد، اما پرسش معمولاً درباره شب گذشته است. جمع‌آورنده هر پنج دقیقه یک سطر به پایگاه داده اضافه می‌کند و صفحه بر اساس آن، ۲۴ ساعت اخیر را ترسیم می‌کند: load average، CPU و I/O wait به‌صورت جداگانه، حافظه و swap، شبکه، دیسک، اتصالات TCP و توصیف‌گرهای فایل. نمودارها را بهتر است جفتی بخوانید: I/O wait بالا در کنار CPU آرام یعنی سرور منتظر دیسک است و افزودن هسته‌های پردازنده بی‌فایده است.

مشکلات دیسک دو نوع‌اند و شبیه هم نیستند: درایوی که رو به خرابی می‌رود، و فایل‌سیستمی که پر می‌شود و سرویس‌ها را با خود از کار می‌اندازد. این پنل هر دو را پوشش می‌دهد — اشغال پارتیشن‌ها، ویژگی‌های SMART و دما. سه ویژگی از خرابی خبر می‌دهند: سکتورهای بازتخصیص‌یافته، در انتظار و اصلاح‌ناپذیر در حالت آفلاین. inodeها جداگانه نمایش داده می‌شوند — پیش از فضای آزاد تمام می‌شوند و علت نوشتن‌هایی هستند که روی دیسکِ دارای فضای آزاد ناموفق می‌مانند.

کنترل دسترسی اجباری تعیین می‌کند که یک برنامه اجازه چه کارهایی را دارد، مستقل از دسترسی‌های کاربری که آن را اجرا کرده است. AppArmor روی بیشتر سرورهای Ubuntu و Debian نصب است و روی بسیاری از آن‌ها تقریباً هیچ محدودیتی اعمال نمی‌کند. پنل پروفایل‌های بارگذاری‌شده را همراه با حالتشان، فرایندهای تحت محدودیت و — بخش جالب‌تر — فرایندهای کاملاً بدون پروفایل نشان می‌دهد. پروفایل در حالت complain فقط ثبت می‌کند که چه چیزی را مسدود می‌کرد؛ تنها enforce واقعاً محدود می‌کند.