امنیت سرور (3)

در این مقاله قصد داریم 78 مورد از ترفندها و نکات امنیت سرور را بیان کنیم. با استفاده از این ترفندها قادر خواهید بود امنیت سرور خود را بهبود ببخشید. سعی می‌کنیم کار خود را با رمز عبور ها و امنیت آن آغاز کنیم. اگر بدانید استفاده از رمز عبور seهای نامناسب و بد چقدر می‌تواند دردسرساز باشد شگفت زده و متعجب خواهید شد. امنیت اپلیکیشن‌های وب را نیز می‌توان با چند مرحله ساده بهبود بخشید. خوب حالا اجازه دهید این لیست را با هم مرور کنیم.

امنیت رمز عبور :

از پسوردهایی استفاده کنید که حداقل 8 کاراکتر دارد.
از پسوردهای پیچیده‌ای استفاده کنید که در برگیرنده اعداد، سمبل‌ها(نشانه‌ها) و نقطه‌گذاری‌هاست.
برای اکانت‌ها یا Roleهای مختلف از پسوردهای متنوع استفاده کنید.
پسورد انتخابی خود را در یک ابزار پسورد امن( ابزارهایی که برای بررسی امنیت پسوردها مورد استفاده قرار می‌گیرد) بررسی کنید.
از کلمات موجود در دیکشنری برای پسورد استفاده نکنید.
از کاراکترها به صورت متوالی استفاده نکنید. به عنوان مثال نباید از پسوردهایی همچون 3333 یا abcdabcd استفاده کنید.
از اطلاعات شخصی خود در پسوردها استفاده نکنید. به عنوان مثال استفاده از تاریخ تولد به هیچ عنوان توصیه نمی‌شود.
پسورد خود را در لپ تاپ، گوشی‌های هوشمند یا تبلت‌هایی که امکان گم شدن آن‌ها وجود دارد ذخیره نکنید.
از برنامه پسورد منیجر( مدیریت پسورد) یا برنامه دیتا رمز که توسط دیتا 98 تولید شده است، برای پیگیری امنیت پسورد های خود استفاده کنید.
اگر گزینه تایید هویت دو مرحله‌ای(two-factor authentication) در دسترس بود حتما از آن استفاده کنید.
از تولید کننده پسورد(password generator) امن برای افزایش امنیت سرور استفاده کنید.

ارتباط امن:

به جای استفاده از plain FTP از Ftp امن استفاده کنید.
به جای استفاده از telnet از SSH استفاده کنید.
از ارتباطات امن در ایمیل خود استفاده کنید(POP3S/IMAPS/SMTPS)
تمامی نواحی مدیریتی را با SSL( HTTPS) امن کنید.
فرم‌های موجود در وب را با SSL( HTTPS) امن‌تر کنید.
در تمامی نقاط نهایی همچون سرور یا دسکتاپ از فایروال استفاده کنید.
از سیستم‌های فایروال/IPS دفتری/ مسکونی استفاده کنید.
ایمیل‌هایی که حساسیت بالایی دارند را رمزگذاری کنید.
برای دسترسی به اطلاعات شخصی و مهم خود از رایانه‌های عمومی استفاده نکنید.

امنیت اپلیکیشن‌های وب:

برای مطلع شدن از به روزرسانی‌های جدید برنامه‌ها، در آن ثبت نام کنید.
اپلیکیشن‌های وب را به صورت منظم به روزرسانی کنید.
با استفاده از ابزارهای امنیت ریموت همچون Nessus، اپلیکیشن‌های وب را اسکن کنید.
از فایروال اپلیکیشن وب استفاده کنید.
فیلد آپلود فایل را بررسی کنید تا اطمینان حاصل نمایید که امکان آپلود کد وجود ندارد.
برای مسائل امنیتی، کدهای سفارشی را مورد بررسی قرار دهید.
از فریم ورک برنامه نویسی با سابقه امنیتی خوب استفاده کنید.
برای مسائل امنیتی تنها به نام فایل/ دایرکتوری اعتماد نکنید.
ناحیه مدیریتی را با محدودیت های مبتنی بر آی پی امن‌تر سازید.
ورودی کاربران را بررسی کنید.
فایل‌های حساس را خارج از ریشه اسناد (document root) قرار دهید یا دسترسی به آن را محدود سازید.
در داخل اسکریپت‌های خود از دستورات شل (Shell) استفاده نکنید.
به فیلد ارجاع دهنده HTTP اعتماد نکنید زیرا این موارد را می‌توان به سادگی جعل کرد.
برای ارائه داده‌ها به جای GET از POST استفاده کنید. در چنین شرایطی داده‌ها و اطلاعات حساس در URL قرار نمی‌گیرد.
داده‌های سمت سرور را به جای داده‌های سمت کلاینت تایید کنید.
بر روی نام فایل و مسیر نسبی تکیه نکنید. همیشه دایرکتوری پایه را تنظیم نمایید.
زمانی که در حال ایجاد فایل هستید، permissions ان را نیز تعیین کنید.
آپلود فایل و فعالیت‌های ایجاد فایل را به دایرکتوری‌های خاص محدود کنید.
پیام‌ خطای امن ایجاد کنید.
مراقب داده‌هایی که از طرف کوکی‌ها ارسال می‌شوند باشید. در برخی از موارد کوکی‌ها مورد سوء استفاده افراد قرار می‌گیرند.
فایل پیکربندی که در برگیرنده اطلاعات لاگین حساس است را رمزگذاری کنید.
با محدود کردن طول فیلد ورودی از بروز حملات DOS جلوگیری کنید.
اگر برایتان ممکن بود url fopen را غیر فعال کنید.
اگر برایتان ممکن بود safe mode را که دربرگیرنده محدودیت‌هایی است فعال کنید.
توابع PHP خطرناک را غیر فعال کنید.
در داخل document root مراقب نامگذاری فایل ها با *.bak, *.txt یا *.inc باشید.
مراقب ابزارهای مدیریت نسخه برنامه در document rootباشید.
برای اپلیکیشن‌های وب reply-to پیش فرض را تنظیم کنید و بونس( پرش) ایمیل را مورد بررسی قرار دهید.
از سیستم‌های کنترل نسخه استفاده کنید.
از سیستم‌های پیگیری باگ و تغییر در لاگ( فایل گزارش) استفاده کنید.

امنیت سرور :

سیستم عامل خود را به صورت منظم به روزرسانی کنید. برای به روزرسانی‌های مهم و ضروری این آپدیت باید به صورت ساعتی باشد.
از افشای اطلاعات بکاهید. به عنوان مثال می‌توانید ServerTokens را در آپاچی تغییر دهید.
نرم افزارهایی که مورد استفاده قرار نمی‌گیرد را در هاست یا سرور خود نصب نکنید.
بک آپ یا نسخه‌های قدیمی نرم افزار را بر روی سیستم تولید(production system )ذخیره نکنید.
دسترسی به دایرکتوری‌ها را با اختصاص permission مناسب محدود نمایید.
مطمئن شوید که فایل‌های گزارش(Log) به درستی کار می‌کند.
مطمئن شوید که همه دسترسی‌های سطح ادمین را با تاریخ، زمان و نام کاربری ذخیره می‌کنید.
مطمئن شوید که از فایروال استفاده می‌کنید.
اکانت‌های پیش فرض در MySQL را حذف کنید.
لاگین از طریق direct root را در SSH غیر فعال کنید.
از شر پسوردهایی با SSH keys خلاص شوید.
سرویس‌هایی که مورد استفاده قرار نمی‌گیرد را غیر فعال کنید.
بک آپ‌ها را نگه دارید.
بک آپ‌ها را بررسی کنید.
در سیستم‌های تولید (production systems) توسعه و گسترش را انجام ندهید.
با مشترک شدن در نوتیفیکیشن‌های امنیتی، از به روزرسانی‌های موجود مطلع شوید.
برای به دست اوردن فعالیت‌های غیر عادی، ترافیک وب را بررسی کنید.
اسکن امنیتی را به صورت منظم و از راه دور انجام دهید.
اسکن منظم و محلی را برای افزایش امنیت سرور انجام دهید.
تنظیمات پیش فرض سرویس‌ها در آپاچی، SSH و سایر سرویس‌ها را امن‌تر کنید.
از اکانت روت تنها زمانی استفاده کنید که به آن نیاز دارید.
برای دسترسی سطح روت، از Sudo استفاده کنید.
اگر ممکن بود SELinux را فعال سازید.
برای ترافیک سرور داخلی از شبکه خصوصی استفاده کنید.
از رمزنگاری به درستی و در زمان مناسب استفاده کنید.
پسوردها را بررسی کنید.
از پسوردها و الگوریتم های تغییر قوی استفاده کنید و افراد را ملزم به استفاده از آن کنید.