UbuntuDebian
לוח אבטחה בהתקנה עצמית לשרתי Ubuntu ו-Debian: IDS/IPS, אנטי-וירוס, WAF, ביקורת, בקרת שלמות והתראות — ללא ענן וללא סוכן. הלוח לא רק מציג אירועים: לכל בעיה שנמצאה הוא מספק פקודה מוכנה שנותר רק להעתיק ולהריץ.
Arcivéo אוסף נתונים מכלי האבטחה המותקנים בשרת שלך ומציג אותם במקום אחד — עם סטטוסים ומדדים ברורים.
חסימה אוטומטית של brute force והתקפות
Fail2ban קורא את יומני השירותים וחוסם כתובות שנכשלות באימות. הלוח מציג את כל ה־jails במסך אחד: כמה כתובות חסומות כעת, כמה מאז הפעלת השירות ואיזה jail תפס אותן. jail שלא תפס דבר נראה בבירור כמו jail פעיל — לרוב זה אומר שהוא קורא את קובץ היומן הלא נכון.
רשימה שחורה מונעת של כתובות IP
IPSUM — רשימת כתובות המתעדכנת מדי יום, כתובות שזוהו בהתקפות על שרתים אחרים. Ipset מחזיק אותה בזיכרון הליבה, כך שבדיקה של מאות אלפי כתובות אינה מעמיסה על חומת האש. הפאנל מציג את גודל הרשימה ואת מועד העדכון האחרון: זו הגנה לפני הניסיון הראשון — הכתובת נחסמת עוד לפני שתגיע לשירות.
ביקורת אבטחה עם ציון מדד
Lynis מריץ מאות בדיקות תצורה ומפיק hardening index — ציון מתוך 100. הלוח מנתח את הדוח ומציג אזהרות והמלצות יחד עם מזהה הבדיקה, כדי שתוכל לבדוק מה משמעות כל אחת. 100 מתוך 100 אינו היעד: חלק מההמלצות נכתבו לתרחישים שאינם קיימים בשרת שלך.
WAF: הגנה על יישומי ווב מפני התקפות
ModSecurity עם ערכת הכללים OWASP CRS מסננת בקשות HTTP בתוך שרת האינטרנט — כבר לאחר הפענוח, במקום שבו תוכן הבקשה גלוי. הפאנל קורא את יומן הביקורת: איזו בקשה נחסמה, איזה כלל הופעל, מה היה ציון החריגה ומהיכן הגיעה הבקשה. מסתכלים כאן בעיקר בגלל התראות שווא: אותו כלל שתופס שוב ושוב את הטופס שלכם עצמו.
ניתוח תעבורה IDS/IPS ברשת
Suricata מנתחת את תעבורת הרשת לפי חתימות ורושמת ממצאים ב-eve.json. הפאנל קורא את הקובץ ישירות בשרת ומציג התראות של 24 השעות האחרונות, מקובצות לפי קטגוריות — ללא Elasticsearch ו-Kibana, שעל VPS יחיד שוקלים יותר מהמכונה המנוטרת. התקנה חדשה שותקת עד שירוץ לפחות פעם אחת suricata-update: עדיין אין בה כללים.
הגנה קולקטיבית לפי מוניטין IP
CrowdSec מנתח את היומנים לפי תרחישים ומקבל החלטות חסימה, תוך הישענות גם על כתובות שדווחו על ידי משתתפים אחרים ברשת — לעיתים קרובות התוקף כבר מוכר. הפאנל מציג את ההחלטות הפעילות עם התרחיש והזמן שנותר, ולצידן את ה-bouncer-ים הרשומים שמבצעים החלטות אלה. אם הרשימה השנייה ריקה, CrowdSec רק מתריע ואינו חוסם דבר.
ניטור התנהגותי של הליבה וה-runtime
Falco עוקב אחר קריאות מערכת ומעלה התראה כאשר תהליך עושה משהו שאינו מעניינו: מפעיל מעטפת משרת אינטרנט, כותב לספריית הקבצים הבינאריים של המערכת, פותח חיבור יוצא בלתי צפוי. הפאנל מציג התראות עם עדיפות, הכלל שהופעל ושורת הפקודה של התהליך. אין צורך ב-Kubernetes — בשרת רגיל Falco פועל באותו אופן.
אנטי-וירוס וסריקת קבצים יומית
אנטי-וירוס ב-Linux אינו מגן על הקבצים הבינאריים שלו עצמו, אלא על מה שמגיע לשרת מבחוץ: web shells דרך טופס העלאה, קבצים מצורפים דרך שרת הדואר, מטענים בתיקיות זמניות. הפאנל מציג את מועד הבדיקה האחרונה, מה היא מצאה — והשדה החשוב מכול — את גיל מסד החתימות. ClamAV עם חתימות בנות שבוע יוצר מראית עין של הגנה ותו לא.
בקרת שלמות מערכת הקבצים
AIDE יוצר טביעת אצבע קריפטוגרפית של מערכת הקבצים ומדווח מה השתנה מאז הבדיקה הקודמת — ומשיב על השאלה שכלים אחרים מתחמקים ממנה: במה הם נגעו. הפאנל מציג שלוש רשימות: קבצים שנוספו, שהשתנו ושנמחקו, לצד מאפיינים שאינם תואמים. הדוח הבוקרי הנפוץ ביותר נובע מעדכוני חבילות שרצו בלילה — השוו את השעות ובנו מחדש את מסד הנתונים.
ביקורת מערכת של אירועים וגישה
דמון הביקורת מתעד בדיוק את האירועים שהתבקש לתעד: שינויים ב-/etc/passwd וב-/etc/shadow, עריכות ב-sshd_config, הרצת קבצים בינאריים להסלמת הרשאות. הלוח מציג את הכללים הטעונים כרגע, הנתיבים במעקב ואירועים עדכניים עם התהליך והתוצאה. לראות את הכללים חשוב לא פחות מהאירועים: ערכה ריקה היא הסיבה השכיחה ביותר לכך ש-auditd נראה פעיל אך אינו מתעד דבר בעל ערך.
חומת אש רשתית מנוהלת
UFW חוסך את התחביר של iptables, אך אינו עוזר להבין ערכת כללים חודשים לאחר מכן. הפאנל מציג את הכללים עם הפעולה, הפורט, הפרוטוקול והמקור, ומבליט בראש את מדיניות ברירת המחדל לתעבורה נכנסת ויוצאת — דווקא עליה נוטים לשכוח. ערכת כללים שנראית מחמירה לא שווה דבר אם מדיניות ברירת המחדל נותרה על allow.
זיהוי סריקת פורטים
מי שסורק פורטים לא משאיר אף ניסיון כניסה כושל, ולכן Fail2ban לא מזהה אותו. PSAD סוגר את הפער הזה: הוא קורא את רשומות חומת האש על תעבורה שנחסמה ומעריך את הממצאים. הפאנל מציג את הכתובות המסומנות, רמת סיכון מ-1 עד 5, מספר החבילות והפורטים. ללא כלל תיעוד בחומת האש, PSAD שותק — וזו הסיבה הרגילה לעמוד ריק לאחר ההתקנה.
בקרת תוקף אישורים
חידוש אוטומטי פתר את רוב הבעיה ויצר גרסה שקטה יותר שלה: התעודות מחדשות את עצמן — עד ליום שבו הן מפסיקות, והמבקר הוא הראשון שמגלה זאת. הפאנל מפרט את התעודות שהשרת מגיש: המנפיק, תאריך התפוגה, מספר הימים שנותרו. פחות משלושים יום לתעודה עם חידוש אוטומטי משמעו שהחידוש כבר זמן מה נכשל בשקט.
מיקום גאוגרפי של מקורות התקיפה על המפה
המפה ממפה את הכתובות שהשרת שלכם עצמו חסם, ממופות לרמת מדינות ובקנה מידה לפי מספר הפגיעות. אלה אינם נתוני איומים שנרכשו ממקור חיצוני: כל נקודה היא תעבורה שהגיעה למכונה הזו. התועלת של המפה מתגלה לאורך זמן: ריכוז מרשת אחת מציין בדרך כלל תוקף יחיד שעובר על רשימה, ואילו פיזור אחיד הוא רעש אינטרנט רגיל.
ניתוח וסיכום יומי של הלוגים
Logwatch מרכז את יומני היממה לדוח אחד ושולח אותו בדוא"ל — שם, כעבור שבועיים, הוא נוחת בתיקייה שאיש אינו מציץ בה. הבעיה מעולם לא הייתה המידע, אלא ההגעה שלו. הפאנל שומר את הדוחות על השרת ומציג אותם בעמודים, עם ארכיון של הימים הקודמים: יום אחד מספר מה קרה, ושבוע מספר מה השתנה.
בקרת זמינות השירותים
Monit עוקב אחר תהליכים, קבצים, מערכות קבצים וצמתים, ומפעיל מחדש כל דבר שנמצא שבור. הפאנל מציג כל בדיקה עם המצב הנוכחי, אובייקט המעקב ומספר ההתערבויות. מונה ההפעלות מחדש הוא השדה הכנה ביותר: שירות שהופעל מחדש ארבעים פעם אינו תקין — הוא קורס שוב ושוב, וההפעלות מחדש רק מסתירות זאת.
כניסה באמצעות מפתחות אבטחה חומרתיים
כניסה לפאנל באמצעות מפתח חומרה, Touch ID או Face ID במקום סיסמה שנייה. המפתח מאמת את הדומיין ברמת הפרוטוקול, ולכן עותק של דף הכניסה בכתובת דומה לא יעבוד — אין לפישינג מה ליירט. אפשר להגדיר כמה מפתחות, לכל אחד שם ומועד שימוש אחרון משלו, ולבטל כל אחד מהם בנפרד.
בקרת ממשקים ופורטים פתוחים
מה נגיש מבחוץ במכונה הזו הוא שאלת האבטחה המועילה ביותר, ואת פלט ss צריך לקרוא מחדש בעיניים בכל פעם. הפאנל מציג שקעים מאזינים עם פורט, פרוטוקול, כתובת האזנה ותהליך, ומתחת — חיבורים שנוצרו. כדאי לקרוא קודם את כתובת ההאזנה: שירות על 127.0.0.1 נגיש רק מהמכונה עצמה, ואותו שירות על 0.0.0.0 — לכל האינטרנט.
מדדי CPU/RAM/רשת/דיסק, היסטוריה של 24 שעות
Top עונה על השאלה מה קורה בשנייה הנוכחית, אבל בדרך כלל שואלים על מה שקרה בלילה שעבר. האספן מוסיף שורה למסד הנתונים אחת לחמש דקות, והדף מצייר לפיה את היממה האחרונה: load average, CPU ו-I/O wait בנפרד, זיכרון ו-swap, רשת, דיסק, חיבורי TCP ומזהי קבצים. כדאי לקרוא את הגרפים בזוגות: I/O wait גבוה כשה-CPU רגוע פירושו שהשרת ממתין לדיסק, ואין טעם להוסיף ליבות מעבד.
תקינות דיסקים (SMART) ותפוסת מחיצות
צרות הדיסק הן שתיים, והן שונות זו מזו: כונן שמתחיל להתקלקל, ומערכת קבצים שמתמלאת וגוררת אחריה את השירותים. הפאנל מכסה את שתיהן — תפוסת המחיצות, מאפייני SMART וטמפרטורה. שלושה מאפיינים מנבאים כשל: סקטורים ממופים מחדש, ממתינים ובלתי ניתנים לתיקון במצב לא מקוון. בנפרד מוצגים inode — הם נגמרים לפני השטח הפנוי ומסבירים כתיבות שנכשלות בדיסק שיש בו שטח פנוי.
בקרת גישה מחייבת (AppArmor/SELinux)
בקרת גישה מנדטורית קובעת מה מותר לתוכנית, ללא תלות בהרשאות המשתמש שהפעיל אותה. AppArmor מותקן ברוב שרתי Ubuntu ו-Debian, וברבים מהם אינו מגביל כמעט דבר. הפאנל מציג את הפרופילים הטעונים עם המצב שלהם, תהליכים תחת הגבלה, ולא פחות מעניין — תהליכים ללא פרופיל כלל. פרופיל במצב complain רק מתעד מה היה חוסם; רק enforce מגביל בפועל.
שמות המוצרים והסימנים המסחריים שייכים לבעליהם. Arcivéo אינו מזוהה איתם ואינו מפיץ את התוכנה שלהם — הלוח מציג נתונים של כלים המותקנים בשרת שלך.
העתיקו את הפקודה מהאזור האישי והריצו אותה על השרת — תוכנית ההתקנה תתקין ותגדיר הכול בעצמה.
Fail2ban, Suricata, ClamAV, ModSecurity ועוד — כל מודולי ההגנה בממשק אחד.
לוח בקרה אחוד, מפת התקפות והתראות שוטפות על אירועים.
מוצר נפרד של Arcivéo: כל אמצעי ההגנה של שרת ה-Linux שלך — במעקב בלוח בקרה אחד.
Suricata, Falco ו-CrowdSec מזהים פעילות חשודה וחוסמים כתובות תוקפות.
ClamAV סורק קבצים ומדווח על תוכנות זדוניות שנמצאו.
UFW ו-ModSecurity מסננים תעבורה ומגנים על יישומי ווב מפני מתקפות.
auditd, AIDE ו-Lynis עוקבים אחר שינויים בקבצים ובודקים את התצורה לאיתור פגיעויות.
מעקב אחר תוקף אישורים וניסיונות התחברות ב-SSH — אישור שפג תוקפו כבר לא יפתיע.
Fail2ban חוסם תוקפים אוטומטית, והרשימה השחורה המונעת IPSUM (100,000+ כתובות IP) מסננת איומים מראש.
AppArmor/SELinux מגבילים את הרשאות התהליכים, ו-WebAuthn 2FA מאבטח כניסה באמצעות מפתחות חומרה ללא סיסמה.
היסטוריית עומס CPU, RAM, רשת ודיסק ל-24 שעות — רואים מתי השרת היה עמוס וממה.
התרעות על אירועי אבטחה וחריגה מסף עומס (מעבד/זיכרון/דיסק) — לשרת שלכם, ל-Telegram או למייל. התדירות נקבעת לפי תזמון ה-cron שלכם.
הכול פועל על שרת ה-Linux שלך — הנתונים והמפתחות לא עוזבים את השרת.
AES-256 לנתונים רגישים ואחסון מאובטח.
כניסה באמצעות מפתחות חומרה וביומטריה — בלי סיסמאות.
ממשק המוניטור, האזור האישי ודף הנחיתה מתורגמים ל-34 שפות.
דמו פתוח מציג את ממשק הניטור האמיתי עם נתוני בדיקה — ללא הרשמה.
ב-VPS נקי תוכנית ההתקנה מקימה בעצמה את שרת הווב, PHP ומסד הנתונים; מראש הם נדרשים רק בהתקנה ידנית.
Ubuntu 22.04+ או Debian 12+
Ubuntu / Debianפרופיל קל: 1 vCPU ו-2 GB; פרופיל מלא: 2 vCPU ו-4 GB
1–2 vCPU · 2–4 GB RAMMySQL 5.7+ או MariaDB 10.4+
MySQL / MariaDBPHP 8.1–8.4 עם מטעין ionCube — נדרש רק לשני קבצים מתוך כמעט 400
PHP 8.1–8.4 · ionCubeApache או Nginx
Apache / Nginxתעודת HTTPS (Let’s Encrypt)
HTTPSמבט מקרוב על הכלים שכבר רצים בשרת שלכם: מה הם מראים, איך קוראים את הפלט שלהם ואיפה בדרך כלל טועים.
שרת סוטה מעצמו: חבילות נערמות, תעודה מתקרבת לתאריך הפקיעה, כלא מפסיק בשקט לשמור על SSH. הנה מה ששווה להסתכל עליו באופן קבוע, עם הפקודות — ולאן מגיעה הרשימה כשלעבור עליה ביד מתחיל להימאס.
לקריאהמדוע כוכבית בכלל של sudo מגיעה רחוק יותר משנראה, כיצד מילה מילולית באמצע הפקודה מפסיקה להגביל דבר, ובמה מחליפים כללים כאלה. מפורק על נתיב אמיתי דרך fail2ban.
לקריאהמדוע load average של 8 יכול להיות תקין ושל 2 מקרה חירום, מה ההבדל בין מעבד עסוק לבין דיסק שהמערכת ממתינה לו, ומה משמעותו של swap שעולה פעם אחת ולא חוזר לאפס.
לקריאהחברת האחסון מגנה על התשתית שלה, לא על מה שקורה בתוך השרת שלך. ובוטים תוקפים את ה-VPS מהדקות הראשונות לאחר ההפעלה: ניחוש סיסמאות מסביב לשעון, סריקות פורטים, ניסיונות להעלות תוכנה זדונית. Arcivéo מאחד את ההתקפות האלה ואת פעולתם של 18+ כלי הגנה בלוח בקרה אחד — במקום עשרות קונסולות.
כן. הכנת השרת היא פקודה אחת מהאזור האישי: העתיקו אותה, הדביקו בקונסולת השרת, ו-Arcivéo יתקין בעצמו את ה-web stack, מסד הנתונים, ionCube וכל מודולי ההגנה. לאחר מכן הפאנל מותקן לפי הוראות שלב-אחר-שלב מהאזור האישי: העלאת קבצים, מילוי config.php, יצירת מסד נתונים, הנפקת SSL, הפעלת רישיון — רשימת משימות מוכנה שבה כל שלב מפורט. מכאן העבודה מתבצעת בפאנל הווב: מצב המודולים, דוחות והתראות. אם משהו לא תקין במודול, הפאנל מציג פקודה מוכנה — מספיק להעתיק אותה לטרמינל. נדרשים: VPS עם Ubuntu או Debian עם גישת root ויכולת להתחבר אליו דרך SSH. אם השרת כבר מריץ אתרים — בחרו בפרופיל «שרת מוגדר»: מותקן רק מה שחסר, חומת האש שלכם, fail2ban, SSH והדואר נשארים כפי שהם, והרצה יבשה תציג את כל השינויים מראש.
כן. פתחו את הדמו החי בכתובת demo.arciveo.com — לוח בקרה מלא ופעיל על נתוני בדיקה, ללא הרשמה וללא תשלום. התרשמו מהממשק, מהמודולים ומהדוחות לפני הרכישה.
יש גם גרסה חינמית, FREE — UFW, fail2ban ובדיקות בסיסיות של השרת, מותקנת בפקודה אחת.
המוניטור, האזור האישי my.arciveo.com ודף הנחיתה arciveo.com מתורגמים ל-34 שפות: אנגלית, גרמנית, צרפתית, ספרדית, סינית, יפנית ועוד. השפה מזוהה אוטומטית לפי הדפדפן ומתחלפת בלחיצה אחת.
רק השרת שלך. Arcivéo היא לחלוטין self-hosted: מותקנת על ה-VPS, ה-VDS או השרת הייעודי שלך על Linux. הלוח פועל באופן עצמאי ואינו פונה לשרתים שלנו — אפילו הרישיון נבדק אופליין, לפי חתימה דיגיטלית. הלוגים ונתוני הניטור נשארים אצלך: אנחנו לא רואים אותם, לא שומרים אותם ולא מעבירים אותם לאף אחד.
רק מה שהפעלתם בעצמכם: התראות ל-Telegram, לדואר או ל-webhook וסיכום לאזור הלקוחות. בלי שום הגדרה הפאנל פותח רק שני חיבורים: הוא בודק את תוקף תעודות ה-SSL של הדומיינים שלכם ומחפש תת-דומיינים ביומני התעודות הציבוריים של crt.sh. הרשימה המלאה, עם מה בדיוק יוצא בכל מקרה, נמצאת בדף אבטחה ונתונים.
מתוך כמעט 400 קבצים של הלוח, ionCube מצפין רק שניים — בדיקת הרישיון והפקת הדוח. הסיבה אחת: להגן על הרישיון מפני העתקה. על השרת הזה נמצאים העסק שלך והנתונים של הלקוחות שלך, ולכן לא הסתרנו מה הלוח עושה בו: הקבצים המוצפנים רק קוראים נתונים, וכל מה שמשנה את המערכת — תוכנית ההתקנה, סקריפטי המערכת, משימות ה-cron — פתוח. הלוח אינו רץ כ-root: בפתיחת /etc/sudoers.d/monitor תוצג הרשימה המלאה של מה שמותר לו לעשות בהרשאות מוגברות. הרישיון נבדק בשרת שלך, ללא קשר איתנו.
הפאנל עצמו קל: הוא רק אוסף ומציג נתונים. את הזיכרון תופסים כלי ההגנה — כ-2.5 GB בפרופיל המלא, מתוכם כ-1 GB לאנטי-וירוס ClamAV לבדו. לכן הפרופיל המלא דורש שרת עם 4 GB RAM לפחות; ל-VPS קטנים יותר יש את הפרופיל הקל — מ-2 GB, בלי מערכות זיהוי החדירות הכבדות. העומס האמיתי נראה בפאנל עצמו: אזור Performance מציג CPU, RAM, דיסק ורשת ל-24 שעות.
הפאנל בשלמותו, ללא חלוקה לתוכניות: ניטור של כל 18+ המודולים — Fail2ban, Suricata, CrowdSec, Falco, ClamAV, ModSecurity (WAF), UFW, AIDE, auditd, Lynis, PSAD, בקרת SSL/SSH, מפת התקפות, Security Score והתראות ב-Telegram וב-Email. כלי ההגנה עצמם הם תוכנה חופשית ומותקנים על השרת שלך; הרישיון משלם עבור הפאנל שמרכז את כל הנתונים שלהם במקום אחד. ללא תוספת תשלום עבור «פרימיום».
רישיון אחד — שרת או דומיין אחד. זמין לחודש, 3 חודשים, 6 חודשים ושנה. לאורך כל התקופה מתקבלים עדכונים והתראות מלאות; אפשר לחדש בכל עת בלי התקנה מחדש.
שום דבר לא נכבה. ההגנה מתבצעת על ידי הכלים שעל השרת עצמו, והם ממשיכים לפעול, וכך גם איסוף הנתונים. לוח המחוונים נשאר זמין, ודפי המודולים והדוח המפורט נפתחים שוב לאחר החידוש. הנתונים וההגדרות שלכם נשמרים. ההתראות ממשיכות להגיע, אבל בגרסה מקוצרת.
התשלום מתקבל דרך ספקי תשלום אמינים. ניתן לשלם בכרטיס או במטבע קריפטוגרפי. כל התשלומים מוצפנים במלואם, ואין לנו גישה לנתוני הכרטיסים שלך. הגישה ניתנת מיידית לאחר התשלום.
תוך 14 ימים, כל עוד הרישיון לא הופעל והחבילה לא הורדה — קובץ שהורד נחשב מוצר שהתקבל. נחזיר את הכסף גם אם הפאנל אינו פועל כמתואר ולא הצלחנו לעזור, או אם החיוב בוצע פעמיים. לכן כדאי לפתוח קודם את הדמו: אינו דורש הרשמה. התנאים המלאים מופיעים במדיניות החזרים.