أمان لينكس: دليل شامل لحماية نظامك

يُعدّ الأمان جانبًا أساسيًا في إدارة أنظمة لينكس. سواء كنت تدير خادمًا في بيئة الإنتاج أو حاسوبًا شخصيًا، فإن حماية نظامك من التهديدات أمر لا غنى عنه. يعرض لك هذا الدليل أفضل الممارسات والتقنيات لتأمين بيئة لينكس لديك بفعالية.

المبادئ الأساسية للأمان

التحديث المنتظم للنظام

خط الدفاع الأول هو إبقاء نظامك محدَّثًا:

# Pour Debian/Ubuntu
sudo apt update
sudo apt upgrade

# Pour Fedora/RHEL
sudo dnf upgrade

# Pour Arch Linux
sudo pacman -Syu

قم بإعداد التحديثات التلقائية لإصلاحات الأمان:

# Sur Debian/Ubuntu
sudo apt install unattended-upgrades
sudo dpkg-reconfigure unattended-upgrades

إدارة المستخدمين والصلاحيات

مبدأ أقل الامتيازات

# Créer un utilisateur standard (non root)
sudo adduser nouvel_utilisateur

# Ajouter aux sudoers (pour les tâches administratives)
sudo usermod -aG sudo nouvel_utilisateur

# Vérifier les groupes d'un utilisateur
groups utilisateur

تعزيز كلمات المرور

# Configurer une politique de mots de passe forts
sudo apt install libpam-pwquality
sudo nano /etc/security/pwquality.conf

# Paramètres recommandés
# minlen = 12
# minclass = 3
# enforce_for_root

تأمين الشبكة

إعداد جدار الحماية

يبسّط UFW (Uncomplicated Firewall) إدارة جدار الحماية:

# Installation
sudo apt install ufw

# Configuration de base
sudo ufw default deny incoming
sudo ufw default allow outgoing

# Autoriser SSH
sudo ufw allow ssh

# Autoriser d'autres services si nécessaire
sudo ufw allow 80/tcp  # HTTP
sudo ufw allow 443/tcp  # HTTPS

# Activer le pare-feu
sudo ufw enable

# Vérifier le statut
sudo ufw status verbose

تأمين SSH

غالبًا ما يكون SSH الهدف الرئيسي للهجمات:

# Éditer la configuration SSH
sudo nano /etc/ssh/sshd_config

التعديلات الموصى بها:

# Désactiver la connexion root
PermitRootLogin no

# Utiliser uniquement le protocole SSH v2
Protocol 2

# Désactiver l'authentification par mot de passe
PasswordAuthentication no

# Limiter les utilisateurs autorisés
AllowUsers utilisateur1 utilisateur2

# Changer le port par défaut (optionnel mais efficace)
Port 2222

# Limiter les tentatives d'authentification
MaxAuthTries 3

أعد تشغيل خدمة SSH:

sudo systemctl restart sshd

المصادقة بمفتاح SSH

# Sur votre machine locale, générer une paire de clés
ssh-keygen -t ed25519 -C "votre_email@exemple.com"

# Copier la clé publique sur le serveur
ssh-copy-id -i ~/.ssh/id_ed25519.pub utilisateur@serveur

# Ou manuellement
cat ~/.ssh/id_ed25519.pub | ssh utilisateur@serveur "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

الحماية من الاختراقات

Fail2ban - الحماية من هجمات القوة الغاشمة

# Installation
sudo apt install fail2ban

# Configuration
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local

الإعداد الموصى به:

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600

شغّل الخدمة وفعّلها:

sudo systemctl enable fail2ban
sudo systemctl start fail2ban

كشف الاختراق باستخدام AIDE

يراقب AIDE (Advanced Intrusion Detection Environment) التعديلات التي تطرأ على الملفات:

# Installation
sudo apt install aide

# Initialiser la base de données
sudo aideinit

# Vérifier les modifications
sudo aide --check

تحصين النظام

تعطيل الخدمات غير الضرورية

# Lister les services actifs
systemctl list-units --type=service --state=active

# Désactiver un service
sudo systemctl disable service_inutile
sudo systemctl stop service_inutile

تأمين محمّل الإقلاع

# Définir un mot de passe GRUB
sudo grub-mkpasswd-pbkdf2
sudo nano /etc/grub.d/40_custom

# Ajouter les lignes suivantes
# set superusers="admin"
# password_pbkdf2 admin <mot_de_passe_généré>

# Mettre à jour GRUB
sudo update-grub

تشفير البيانات

# Chiffrer le répertoire personnel
sudo apt install ecryptfs-utils
sudo ecryptfs-migrate-home -u utilisateur

# Chiffrer une partition complète (lors de l'installation)
# Utiliser LUKS via l'installateur de votre distribution

المراقبة وتسجيل الأحداث

إعداد تسجيل الأحداث

# Vérifier les journaux système
sudo journalctl -xe

# Surveiller les tentatives de connexion
sudo tail -f /var/log/auth.log

# Configurer la rotation des journaux
sudo nano /etc/logrotate.conf

أدوات المراقبة

# Installer des outils de surveillance
sudo apt install logwatch
sudo apt install auditd

# Configurer des rapports quotidiens
sudo nano /etc/cron.daily/00logwatch

عمليات تدقيق الأمان

Lynis - أداة تدقيق الأمان

# Installation
sudo apt install lynis

# Exécuter un audit complet
sudo lynis audit system

# Générer un rapport
sudo lynis audit system --report-file /tmp/lynis-report.dat

OpenVAS - ماسح الثغرات الأمنية

# Installation (peut varier selon la distribution)
sudo apt install openvas

# Configuration initiale
sudo openvas-setup

# Accéder à l'interface web
# https://localhost:9392

ممارسات جيدة إضافية

النسخ الاحتياطي الآمن

# Utiliser rsync avec SSH
rsync -avz -e ssh /chemin/source utilisateur@serveur:/chemin/destination

# Automatiser avec cron
# 0 2 * * * rsync -avz -e ssh /chemin/source utilisateur@serveur:/chemin/destination

العزل باستخدام AppArmor أو SELinux

# AppArmor (Ubuntu/Debian)
sudo apt install apparmor apparmor-utils
sudo aa-enforce /etc/apparmor.d/*

# SELinux (Fedora/RHEL)
sudo dnf install selinux-policy-targeted
sudo setenforce 1

الخاتمة

أمان لينكس عملية مستمرة تتطلب اليقظة والتحديثات المنتظمة. وبتطبيق الإجراءات الموضحة في هذا الدليل، ستُرسي أساسًا متينًا لحماية نظامك من معظم التهديدات الشائعة.

وتذكّر أن الأمان المثالي غير موجود، لكن اعتماد نهج دفاع متعدد الطبقات يقلّل المخاطر بدرجة كبيرة. ابقَ على اطلاع بآخر الثغرات الأمنية، وكيّف استراتيجيتك الأمنية وفقًا لذلك.