اپنے سرور کی حفاظت کریں۔ تمام حملے اور تبدیلیاں ایک ہی پینل میں۔

Fail2ban سروسز کے لاگز پڑھتا ہے اور ان پتوں کو بین کرتا ہے جو تصدیق میں ناکام رہتے ہیں۔ پینل تمام jails کو ایک ہی اسکرین پر دکھاتا ہے: اس وقت کتنے پتے بلاک ہیں، سروس کے آغاز سے کتنے، اور کس jail نے انہیں پکڑا۔ وہ jail جس نے کچھ بھی نہیں پکڑا، اتنا ہی واضح نظر آتا ہے جتنا ایک کام کرتا jail — اکثر اس کا مطلب یہ ہوتا ہے کہ وہ غلط لاگ فائل پڑھ رہا ہے۔

IPSUM دوسرے سرورز پر حملوں میں پکڑے گئے پتوں کی روزانہ اپڈیٹ ہونے والی فہرست ہے۔ Ipset اسے کرنل میموری میں رکھتا ہے، اس لیے لاکھوں پتوں کی جانچ فائر وال پر بوجھ نہیں ڈالتی۔ پینل فہرست کا حجم اور آخری اپڈیٹ کا وقت دکھاتا ہے: یہ پہلی کوشش سے پہلے کا تحفظ ہے — پتہ سروس تک پہنچنے سے پہلے ہی کاٹ دیا جاتا ہے۔

Lynis کنفیگریشن کی سینکڑوں جانچیں چلاتا ہے اور hardening index دکھاتا ہے — 100 میں سے ایک اسکور۔ ڈیش بورڈ رپورٹ کا تجزیہ کرتا ہے اور انتباہات و سفارشات کو ٹیسٹ شناخت کنندہ کے ساتھ دکھاتا ہے، تاکہ آپ دیکھ سکیں کہ ہر ایک کا کیا مطلب ہے۔ 100 میں سے 100 مقصد نہیں ہے: کچھ سفارشات ایسے منظرناموں کے لیے لکھی گئی ہیں جو آپ کے سرور پر موجود نہیں۔

ModSecurity، OWASP CRS قواعد کے سیٹ کے ساتھ، ویب سرور کے اندر HTTP درخواستوں کو فلٹر کرتا ہے — ڈکرپشن کے بعد، جہاں درخواست کا مواد نظر آتا ہے۔ پینل آڈٹ لاگ پڑھتا ہے: کون سی درخواست بلاک ہوئی، کون سا قاعدہ متحرک ہوا، اینوملی اسکور کیا تھا اور درخواست کہاں سے آئی۔ یہاں سب سے پہلے غلط الارموں کے لیے دیکھا جاتا ہے: ایک ہی قاعدہ جو بار بار آپ ہی کے فارم کو پکڑتا ہے۔

Suricata نیٹ ورک ٹریفک کو سگنیچرز کے مطابق پرکھتا ہے اور نتائج eve.json میں لکھتا ہے۔ پینل اس فائل کو براہِ راست سرور پر پڑھتا ہے اور دن بھر کے انتباہات زمروں کے مطابق گروپ کر کے دکھاتا ہے — Elasticsearch اور Kibana کے بغیر، جو ایک ہی VPS پر زیرِ نگرانی مشین سے زیادہ جگہ لیتے ہیں۔ نئی تنصیب اُس وقت تک خاموش رہتی ہے جب تک suricata-update کم از کم ایک بار نہ چل جائے: اِس میں ابھی کوئی قواعد موجود نہیں۔

CrowdSec لاگز کو سیناریوز کے مطابق پرکھتا ہے اور بلاک کرنے کے فیصلے کرتا ہے، اور اس میں ان پتوں کو بھی مدنظر رکھتا ہے جن کی اطلاع نیٹ ورک کے دیگر شرکاء نے دی ہو — حملہ آور اکثر پہلے سے معلوم ہوتا ہے۔ پینل سیناریو اور باقی وقت کے ساتھ فعال فیصلے دکھاتا ہے، اور ساتھ ہی رجسٹرڈ bouncer دکھاتا ہے جو ان فیصلوں پر عمل کرتے ہیں۔ اگر دوسری فہرست خالی ہو تو CrowdSec صرف اطلاع دیتا ہے اور کچھ بلاک نہیں کرتا۔

Falco سسٹم کالز پر نظر رکھتا ہے اور اُس وقت انتباہ جاری کرتا ہے جب کوئی پروسیس ایسا کام کرتا ہے جو اُس کے دائرہ کار میں نہیں: ویب سرور سے شیل چلانا، سسٹم بائنریز کی ڈائریکٹری میں لکھنا، غیر متوقع باہر جانے والا کنکشن کھولنا۔ ڈیش بورڈ انتباہات کو ان کی ترجیح، عمل میں آنے والے قاعدے اور پروسیس کی کمانڈ لائن کے ساتھ دکھاتا ہے۔ اس کے لیے Kubernetes کی ضرورت نہیں — عام سرور پر بھی Falco اسی طرح کام کرتا ہے۔

Linux پر اینٹی وائرس اپنی بائنریز کی نہیں بلکہ اُس چیز کی حفاظت کرتا ہے جو باہر سے سرور تک پہنچتی ہے: اپلوڈ فارم کے ذریعے ویب شیلز، میل سرور کے ذریعے منسلکات، اور عارضی ڈائریکٹریز میں پے لوڈز۔ ڈیش بورڈ آخری جانچ کا وقت، اُس کے نتائج اور — سب سے اہم فیلڈ — سگنیچر بیس کی عمر دکھاتا ہے۔ ہفتہ پرانے سگنیچرز والا ClamAV صرف حفاظت کا تاثر دیتا ہے، اِس سے زیادہ کچھ نہیں۔

AIDE فائل سسٹم کا کرپٹوگرافک نقش لیتا ہے اور بتاتا ہے کہ پچھلی جانچ کے بعد کیا بدلا — یہ اُس سوال کا جواب دیتا ہے جس سے باقی اوزار پہلو تہی کرتے ہیں: اُنہوں نے کس چیز کو چھوا۔ پینل تین فہرستیں دکھاتا ہے: شامل کی گئی، تبدیل شدہ اور حذف کی گئی فائلیں، مختلف اوصاف کے ساتھ۔ سب سے عام صبح کی رپورٹ رات کے پیکج اپڈیٹس کی وجہ سے ہوتی ہے — وقت کا موازنہ کریں اور بیس دوبارہ بنائیں۔

آڈٹ ڈیمن بالکل وہی واقعات ریکارڈ کرتا ہے جن کے لیے اسے کہا گیا ہو: /etc/passwd اور /etc/shadow میں تبدیلیاں، sshd_config کی ترامیم، مراعات بڑھانے والی بائنریز کا اجرا۔ پینل ابھی لوڈ شدہ قواعد، زیرِ نگرانی راستے اور تازہ واقعات کو عمل اور نتیجے کے ساتھ دکھاتا ہے۔ قواعد دیکھنا واقعات سے کم اہم نہیں: خالی سیٹ سب سے عام وجہ ہے جس کے باعث auditd چلتا ہوا دکھائی دیتا ہے مگر کوئی قیمتی چیز ریکارڈ نہیں کرتا۔

UFW آپ کو iptables کے سنٹیکس سے بچا لیتا ہے، مگر مہینوں بعد قواعد کے سیٹ کو سمجھنے میں مدد نہیں دیتا۔ پینل قواعد کو ایکشن، پورٹ، پروٹوکول اور ماخذ کے ساتھ دکھاتا ہے، اور آنے والے و جانے والے ٹریفک کی ڈیفالٹ پالیسیاں سب سے آگے پیش کرتا ہے — عام طور پر انہی کو بھلا دیا جاتا ہے۔ بظاہر سخت دکھنے والا قواعد کا سیٹ کچھ معنی نہیں رکھتا اگر ڈیفالٹ پالیسی allow پر ہی رہ جائے۔

جو شخص پورٹس کھنگالتا ہے وہ لاگ اِن کی کوئی ناکام کوشش نہیں چھوڑتا، اس لیے Fail2ban اسے نہیں دیکھ پاتا۔ PSAD یہ خلا پُر کرتا ہے: یہ فائر وال کے مسترد شدہ ٹریفک کے ریکارڈ پڑھتا ہے اور جو ملے اُس کا جائزہ لیتا ہے۔ ڈیش بورڈ نشان زد پتے، 1 سے 5 تک خطرے کی سطح، پیکٹس کی تعداد اور پورٹس دکھاتا ہے۔ فائر وال میں لاگنگ قاعدے کے بغیر PSAD خاموش رہتا ہے — انسٹال کے بعد خالی صفحے کی یہی عام وجہ ہوتی ہے۔

خودکار تجدید نے مسئلے کا بڑا حصہ حل کر دیا اور اس کی ایک خاموش شکل بنا دی: سرٹیفکیٹ خود کو خود تجدید کرتے ہیں — اُس دن تک جب یہ بند ہو جاتا ہے، اور سب سے پہلے اس کا علم آنے والے کو ہوتا ہے۔ ڈیش بورڈ اُن سرٹیفکیٹس کی فہرست دکھاتا ہے جو سرور فراہم کرتا ہے: جاری کنندہ، انقضا کی تاریخ، باقی دن۔ خودکار تجدید والے سرٹیفکیٹ میں تیس دن سے کم کا مطلب ہے کہ تجدید کچھ عرصے سے خاموشی سے کام نہیں کر رہی۔

نقشہ ان پتوں کو دکھاتا ہے جنہیں آپ کے اپنے سرور نے بلاک کیا، ممالک کی سطح تک حل کیے گئے اور ہٹس کی تعداد کے مطابق اسکیل کیے گئے۔ یہ باہر سے خریدی گئی خطرات کی ڈیٹا اسٹریم نہیں: ہر نقطہ وہ ٹریفک ہے جو اسی مشین تک پہنچی۔ نقشہ وقت کے ساتھ کارآمد ہوتا ہے: ایک ہی نیٹ ورک سے گاڑھا ہونا عموماً کسی ایک عامل کو ظاہر کرتا ہے جو فہرست پر چل رہا ہوتا ہے، جبکہ یکساں بکھراؤ عام انٹرنیٹ شور ہے۔

Logwatch دن بھر کے لاگز کو ایک رپورٹ میں سمیٹتا ہے اور اسے ای میل کر دیتا ہے — جہاں چند ہفتوں بعد وہ اُس فولڈر میں پہنچ جاتی ہے جس میں کوئی نہیں جھانکتا۔ مسئلہ کبھی معلومات کا نہیں تھا، مسئلہ اُن کی ترسیل کا تھا۔ ڈیش بورڈ رپورٹس کو سرور پر رکھتا ہے اور انہیں صفحہ بہ صفحہ دکھاتا ہے، پچھلے دنوں کے آرکائیو کے ساتھ: ایک دن بتاتا ہے کہ کیا ہوا، اور ایک ہفتہ بتاتا ہے کہ کیا بدلا۔

Monit پروسیسز، فائلوں، فائل سسٹمز اور نوڈز پر نظر رکھتا ہے اور جو کچھ خراب ملے اسے دوبارہ چالو کر دیتا ہے۔ ڈیش بورڈ ہر جانچ کو اس کی موجودہ حالت، زیرِ نگرانی آبجیکٹ اور مداخلتوں کی تعداد کے ساتھ دکھاتا ہے۔ دوبارہ چلانے کا شمار کنندہ سب سے سچا خانہ ہے: چالیس بار دوبارہ چلائی گئی سروس صحت مند نہیں، وہ بار بار گرتی ہے اور دوبارہ چلانا اسے چھپا دیتا ہے۔

دوسرے پاس ورڈ کے بجائے ہارڈ ویئر کلید، Touch ID یا Face ID سے پینل میں لاگ اِن۔ کلید پروٹوکول کی سطح پر ڈومین کی تصدیق کرتی ہے، اِس لیے ملتے جلتے پتے پر لاگ اِن صفحے کی نقل کام نہیں کرے گی — فشنگ کے پاس چرانے کو کچھ نہیں۔ آپ کئی کلیدیں بنا سکتے ہیں، ہر ایک اپنے نام اور آخری استعمال کے وقت کے ساتھ، اور اُن میں سے کسی کو بھی الگ سے منسوخ کر سکتے ہیں۔

اس مشین پر باہر سے کیا قابلِ رسائی ہے — یہ سب سے مفید سیکیورٹی سوال ہے، اور ss کے آؤٹ پٹ کو ہر بار آنکھوں سے دوبارہ پڑھنا پڑتا ہے۔ پینل سننے والے ساکٹس کو پورٹ، پروٹوکول، بائنڈنگ ایڈریس اور پروسیس کے ساتھ دکھاتا ہے، اور نیچے — قائم شدہ کنکشنز۔ سب سے پہلے بائنڈنگ ایڈریس پڑھنا چاہیے: 127.0.0.1 پر چلنے والی سروس صرف اسی مشین سے قابلِ رسائی ہے، جبکہ وہی سروس 0.0.0.0 پر — پورے انٹرنیٹ کے لیے۔

Top موجودہ سیکنڈ کے بارے میں جواب دیتا ہے، جبکہ عام طور پر سوال گزری رات کے بارے میں ہوتا ہے۔ کلیکٹر ہر پانچ منٹ میں ڈیٹا بیس میں ایک سطر کا اضافہ کرتا ہے، اور صفحہ اس کی بنیاد پر آخری چوبیس گھنٹے دکھاتا ہے: load average، CPU اور I/O wait الگ الگ، میموری اور swap، نیٹ ورک، ڈسک، TCP کنکشنز، فائل ڈسکرپٹرز۔ گراف کو جوڑوں میں پڑھنا چاہیے: پُرسکون CPU کے ساتھ زیادہ I/O wait کا مطلب ہے کہ سرور ڈسک کا انتظار کر رہا ہے، اور پروسیسر کور بڑھانا بے سود ہے۔

ڈسک کی دو مصیبتیں ہیں، اور وہ ایک دوسرے سے مختلف ہیں: ایک ایسا ڈرائیو جو خراب ہونا شروع کر دیتا ہے، اور ایک فائل سسٹم جو بھر جاتا ہے اور سروسز کو اپنے ساتھ لے ڈوبتا ہے۔ پینل دونوں کا احاطہ کرتا ہے — پارٹیشنز کی مصروفیت، SMART خصوصیات اور درجہ حرارت۔ خرابی کی پیش گوئی تین خصوصیات کرتی ہیں: دوبارہ تفویض کردہ سیکٹرز، زیرِ التوا اور آف لائن میں ناقابلِ اصلاح۔ inode الگ سے دکھائے جاتے ہیں — یہ خالی جگہ سے پہلے ختم ہو جاتے ہیں اور ان تحریروں کی وضاحت کرتے ہیں جو ایسی ڈسک پر نہیں لکھی جا پاتیں جہاں خالی جگہ موجود ہو۔

لازمی رسائی کنٹرول یہ طے کرتا ہے کہ کسی پروگرام کو کیا کرنے کی اجازت ہے، قطع نظر اس صارف کے حقوق کے جس نے اسے چلایا۔ AppArmor زیادہ تر Ubuntu اور Debian سرورز پر موجود ہوتا ہے اور بہت سے سرورز پر تقریباً کسی چیز کو محدود نہیں کرتا۔ پینل لوڈ شدہ پروفائلز کو ان کے موڈ سمیت، پابندی کے تحت چلنے والے پروسیسز، اور — زیادہ دلچسپ نصف — بالکل بغیر پروفائل والے پروسیسز دکھاتا ہے۔ complain موڈ میں پروفائل صرف یہ ریکارڈ کرتا ہے کہ وہ کیا بلاک کرتا؛ پابندی صرف enforce لگاتا ہے۔