عرض مصدر تأمين جهاز به دبيان

<span data-link_translate_nl_title="Beveiligen zijn Debian machine"  data-link_translate_nl_url="Beveiligen+zijn+Debian+machine"></span>[[:nl:Beveiligen zijn Debian machine]][[nl:Beveiligen zijn Debian machine]]
<span data-link_translate_it_title="Protezione relativa macchina Debian"  data-link_translate_it_url="Protezione+relativa+macchina+Debian"></span>[[:it:Protezione relativa macchina Debian]][[it:Protezione relativa macchina Debian]]
<span data-link_translate_pt_title="Protegendo sua máquina Debian"  data-link_translate_pt_url="Protegendo+sua+m%C3%A1quina+Debian"></span>[[:pt:Protegendo sua máquina Debian]][[pt:Protegendo sua máquina Debian]]
<span data-link_translate_es_title="Su máquina Debian"  data-link_translate_es_url="Su+m%C3%A1quina+Debian"></span>[[:es:Su máquina Debian]][[es:Su máquina Debian]]
<span data-link_translate_en_title="Securing its Debian machine"  data-link_translate_en_url="Securing+its+Debian+machine"></span>[[:en:Securing its Debian machine]][[en:Securing its Debian machine]]
<span data-link_translate_fr_title="Sécuriser sa machine Debian"  data-link_translate_fr_url="S%C3%A9curiser_sa_machine_Debian"></span>[[:fr:Sécuriser sa machine Debian]][[fr:Sécuriser sa machine Debian]]
<br />

هام: تمت ترجمة هذه المقال باستخدام برامج للترجمة الآلية, لقرائة النسخة الأصلية [[:fr:Sécuriser sa machine Debian|أنقر على الرابط]]<br /><span data-translate="fr"></span>

<لا trad><span data-link_translate_ro_title="Asigurarea sa maşină de Debian"  data-link_translate_ro_url="Asigurarea+sa+ma%C5%9Fin%C4%83+de+Debian"></span>










==مقدمة ==
ضمان سلامة له آلة هو نقطة أساسية يجب أن لا يستهان بها تحت طائلة أن تصبح هدفا لهجمات مختلفة. السلطة الحالية من أجهزة الكمبيوتر اليوم مما يجعل الاختراقات كتقنيات هجوم القوة الغاشمة أو  bruteforce'' بسيطة للغاية لتنفيذ للحصول على حق الوصول كمسؤول إلى الهدف في آلة زمنية قصيرة.
''<br>
في هذه الصفحة سوف تجد قائمة غير حصرية من المسارات من أجل تأمين الملقم ديبيان على نقاط مختلفة مثل حساب الجذر، سة الوصول، وجدار الحماية، إلخ...
<br> <div style="background-color: #FF9999;">'تحذير ''': قبل إجراء أية تغييرات على النظام الخاص بك دائماً خطة النسخ احتياطي للملفات الخاصة بك في حالة المناولة غير السليمة. ''
على خادم إنتاج، يجب التأكد من تنفيذ هذه العمليات خلال ساعات الذروة التقليل من تأثير الإجراءات الخاصة بك. <br>

==الشروط المسبقة ==
أحد شرطا مسبقاً أساسيا للأمن لأن الخادم التمسك الحزم في النسخة الخاصة آخر حتى الآن قدر الإمكان. عدد كبير من العيوب المكتشفة تم تصحيحها بسرعة من قبل المطورين للحزم والتطبيقات ذات الصلة، حيثما كان ذلك ممكن وينبغي أن يحتفظ دائماً بنظامها لتحديث، ومن ثم تجنب ثغرات أمنية.
</div>
الحفاظ على نظام ديبيان حديثة، تأكد من وجود قائمة مستودعات الرسمية لتحديث. يمكنك العثور على قائمة المتوفرة في مستودعات عكلة والحصول على إرشادات التثبيت  <pre> apt-get update
 apt-get upgrade </pre>.

==الدلائل المستخدمين ==
بشكل افتراضي على نظام ديبيان، دلائل المستخدمين بالوصول إلى الحسابات المحلية الأخرى هذا على الجهاز. [[:fr:Quelles_sont_les_sources_des_d%C3%A9p%C3%B4ts_debian_chez_Ikoula| في هذا العنوان]]
وللتغلب على هذا خلل في الأمن الضروري لتكوين السلوك الافتراضي.
;تأكد من الدلائل التي للقراءة فقط من قبل أصحابها 
<br>
<syntaxhighlight lang="bash"> dpkg-reconfigure adduser</syntaxhighlight>
==الجذر الوصول ==
السماح باتصالات من حساب  [[File:dpkg-reconfigureadduser.png||dpkg-reconfigure adduser]]جذر '' بعد الأول استخدام عموما ليست فكرة جيدة. في الواقع الحساب  ''جذر '' ou ''متميز '' لديه حق الوصول الكامل إلى النظام الخاص بك. ''إذا كان مهاجم يأتي للوصول إلى حساب  <br>متميز '' ستكون لها السيطرة الكاملة على الجهاز الخاص بك.
===سودو الأمر ===
للحد من المخاطر، على سبيل المثال، يمكنك إضافة مستخدم، إذا لزم الأمر، سوف تحصل على الحقوق لدينا  ''متميز '' باستخدام الأمر  ''سودو ''.
;نحن بحاجة أولاً إلى إنشاء مستخدم جديد  :
''
وبعد ذلك، ملء الحقول فضلا عن كلمة السر التي يفضل أن تكون سوف يتم تشكيلها من الأحرف الصغيرة والأحرف الكبيرة، والأرقام.
;ونحن الآن سيتم تثبيت سودو :
<syntaxhighlight lang="bash"> adduser votre_utilisateur</syntaxhighlight>
;والآن بعد أن يتم إنشاء المستخدمين لدينا وهو تثبيت هذا سودو سيتعين عليها أن تكون في مجموعة سودو باستخدام الأمر :
<syntaxhighlight lang="bash"> apt-get install sudo</syntaxhighlight>

من الآن لدينا المستخدم قد، إذا لزم الأمر، تسبق الأمر الذي تريد سودو تشغيل بأذونات من  <syntaxhighlight lang="bash"> usermod -a -G sudo votre_utilisateur </syntaxhighlight>متميز ''.
''وسيطلب كلمة المرور قبل أن يمكنك تشغيل أي أمر.
<br> 

===حظر دخول جذر ===
الآن أن لدينا مستخدم آخر يمكننا على سبيل المثال منع الاتصال بنظامنا من الحساب  <syntaxhighlight lang="bash"> sudo cat /etc/password </syntaxhighlight>جذر ''.''

;تحتاج أولاً إلى تحرير التكوين سة خدمة الملف 
<br>

;إيجاد وتحرير السطر التالي في الملف sshd_config، بتغيير  <syntaxhighlight lang="bash">  vi /etc/ssh/sshd_config </syntaxhighlight>نعم '' قبل  ''no''. هناك حاجة إلى uncomment السطر بحذف الرمز  #.
''

تذكر ثم احفظ وأغلق ملف التكوين. <syntaxhighlight lang="bash">  PermitRootLogin no </syntaxhighlight>
;عندما سيتم إعادة تشغيل خدمة SSH الخاص بك التغييرات نافذة المفعول.
<br>
<syntaxhighlight lang="bash"> /etc/init.d/ssh restart </syntaxhighlight>
<br> <div style="background-color: #FFCC99;">'مجلس ''': من المستحسن أن عليك دائماً سة المحطة الطرفية كجذر لمدة الاختبارات. بل سوء تصرف من شأنه أن يجعل الاتصال على النظام الخاص بك من المستحيل. ''
ولذلك يوصي بافتتاح محطة ثانية من أجل اختبار الاتصال واستخدام التغييرات على المستخدم الجديد. <br>

==سة الوصول ==
وبفضل الحلول سابقا هو الفعل المضمون نظامنا، ولكن نحن لا يزال تعزيز هذا الأمن عن طريق تنفيذ ملف مفتاح مصادقة. </div>
عادة يتم إجراء الاتصال والمصادقة على النظام الخاص بك عن طريق زوج دخول /كلمة مرور. أننا يمكن أن يحل محل هذه الطريقة التي ليست معصومة من الخطأ من مصادقة مفتاح. <br>
بمجرد تنفيذ التغيير خلال كل نظام اتصال جديد سوف يشاهد إذا كان لدى المستخدم محاولة الاتصال مفتاح صالح، وإذا كان هذا الإذن للقيام تسجيل دخول لهذا المستخدم. <br>
ورغم أن لا توجد طريقة مضمونة يتطلب ملف مفتاح مصادقة الشخص الذي يريد أن ندخل في هذا النظام أنه يحتوي هذا الملف. لذا، يمكننا أن نعزز الأمن مقابل كلمة سر التي يمكن تخمينها ب  <br>القوة الغاشمة ''''
موجودة عدة عيوب، ومع ذلك، عندما يتم تحديد هذا الأسلوب، من الضروري أن يكون ملف المفتاح بغض النظر عن موقع الاتصال، على سبيل المثال بين أجهزة الكمبيوتر في العمل وفي المنزل. <br>
تحتاج أيضا إلى إضافة كل ملف المفتاح الجديد الذي سيسمح للوصول إلى النظام الخاص بك، في حالة على سبيل المثال، لإضافة مستخدم جديد أو الوصول بها إلى شخص مرخص له بالنظام الخاص بك يدوياً.

=== تغيير المنفذ الافتراضي  ===
واحدة من الطرق الأكثر فعالية لوقف الاختبارات التلقائية التي شنت على ملقمات يتم تغيير المنفذ الافتراضي SSH على جهازك.
للقيام بتحرير هذا الملف الخاص بك  <br>'sshd_config'''
''
; إيجاد وتحرير السطر التالي في الملف عن طريق تغيير القيمة التي تم اختيارها واحدة 
<syntaxhighlight lang="bash"> vi /etc/ssh/sshd_config </syntaxhighlight>
; إعادة تشغيل خدمة SSH 
<syntaxhighlight lang="bash"># What ports, IPs and protocols we listen for
Port 22
</syntaxhighlight>
<syntaxhighlight lang="bash"> /etc/init.d/ssh restart </syntaxhighlight> <div style="background-color: #FFCC99;">'ملاحظة ''': الآن الاتصال بالجهاز الخاص بك سوف يكون تحديد المنفذ الجديد سة : سة المستخدم@IPAddress  -Votre_port ف ''
</div>
=== إنشاء زوج مفاتيح  ===
==== Windows ====
<br>
يمكنك إنشاء الخاصة بك مفتاح من بوتيجين البرمجيات المتاحة لنظام التشغيل Windows.
[[File:puttygen.png|thumb|right|PuTTYgen sous Windows]]
==== لينكس  ====
تحت لينكس يمكنك كتابة الأمر التالي  :
<br>

=== نسخ زوج المفاتيح  ===
عندما يتم إنشاء الزوج أننا يجب أن تشير الآن إلى الملقم ما هم الأشخاص المسموح لهم بالاتصال بنا مستخدم جديد.
للقيام بذلك كل مستخدم لدينا نظام يحتوي على ملف  <syntaxhighlight lang="bash"> ssh-keygen </syntaxhighlight>'ssh/authorized_keys''' موجودة في الدليل المحلي.

;إذا قمت يتم حاليا بتوليد مفاتيح على نظامك ديبيان يمكنك استخدام الأمر التالي لنسخ المفتاح تلقائياً إلى الملف.
''

;وبدلاً من ذلك يمكنك يدوياً إضافة المفتاح العمومي الخاص بك إلى ملف الأشخاص المأذون لهم 
في حالة عدم وجود المجلد.ssh في مجلد محلي للمستخدم لدينا نحن إنشائه 
<syntaxhighlight lang="bash"> ssh-copy-id votre_utilisateur@IP_VotreServeur </syntaxhighlight>
;والآن ونحن بحاجة إلى إنشاء ملف  <syntaxhighlight lang="bash">mkdir .ssh
chmod 700 .ssh
</syntaxhighlight>'authorized_keys''' في المجلد.ssh بنا 
''
; المفتاح العمومي ثم يتم إضافة إلى الملف، يجب أن تكون النتيجة مشابهة لهذا المثال 
<syntaxhighlight lang="bash"> vi .ssh/authorized_keys
</syntaxhighlight>
حفظ وإغلاق الملف.
; لأسباب أمنية ونحن سوف تقييد الوصول إلى الملف 
<syntaxhighlight lang="bash"> ssh-rsa AAAB3NzaC1yc2EAAAADAQaSdMTJXMy3MtlQhva+j9CgguyVbU3nCKneB+KjKiS/1rggpFmu3HbXBnWSUdf votre_utilisateur@machine.locale </syntaxhighlight>
من الآن مسموح لنا المستخدم الاتصال بالجهاز.

==نظام استجذار ==
إعداد سجن،  <syntaxhighlight lang="bash"> chmod 600 .ssh/authorized_keys
</syntaxhighlight>'استجذار ''' ويمكن للمستخدمين حلاً جيدا لتأمين الملقم الخاص به. سجن على النظام سيكون المستخدمين لاختيار الأسهم انخفض إلى أوامر أذنت لك حتى. ''
سوف تجد المزيد من المعلومات حول  <br>'استجذار ''' وتنفيذه في مقالة متاحة على العنوان  ''

==جدار الحماية ==
استخدام جدار حماية ينصح بشدة لتأمين النظام الخاص بك. [[:fr:Chrooter ses utilisateurs Debian|suivante]]
جدار الحماية غالباً ما يكون الخط الأول للدفاع عن الجهاز الخاص بك ضد الخارج، هو في الواقع له الذين سيتم تحليل حركة المرور التي تمر بين جهازك والخارج. <br>
وبفضل جدار الحماية أنت قادرة على منع أو السماح بالوصول إلى جهازك من الخارج إلى بروتوكولات أو منافذ معينة وبالتالي ضمان أمن النظام الخاص بك.
===سياسات الأمن ===
في حالة جدار حماية من الضروري تعريف نهج أمان تنفيذها. دون تعريف فعالة سيكون الاختيار لحجب أو إذن من المنافذ والبروتوكولات عشوائية جداً. <br>
ولذلك من الضروري أن تحدد مقدما سياسة واضحة لأمن شبكة الكمبيوتر أو الجهاز له. <br>
<br>
تشمل مختلف السياسات ويشيع استخدام سياسات  <br>'البيضاء ''' ودي  '''القائمة السوداء '''.
====البيضاء ====
مبدأ السياسة  '''البيضاء ''' هو عرقلة حركة المرور جميع الدخول بدون استثناء والسماح صراحة فقط في منافذ والبروتوكولات التي نحن متأكدون تماما على سلامتهم.
نهج الأمان هذا مزايا عديدة مقارنة  '''القائمة السوداء '''. سيتم حظر بل جميع حركة المرور يسمح بشكل غير صريح، وسيؤدي هذا إلى منع معظم محاولات الاتصال التي نحن لن يكون بالضرورة لديه المعاكسة لتأمين. ''
واحدة من مساوئ هذه السياسة هو الالتزام بالحاجة إلى تعريف كل المنافذ أو البروتوكولات المستخدمة لعدم حظر إعدام خدماتنا  ( على سبيل المثال البروتوكول  <br>http'' منفذ  80 )ولذلك يجب أن نعرف كل المنفذ المستخدم بواسطة الجهاز والحفاظ على النظام عند إضافة أو حذف خدمة.
بشأن الصادرة في معظم الحالات لا تعتبر خطرة لكل إذن، بل لك من المفترض أن يعرف حركة المرور ترك الجهاز أو الشبكة الخاصة بك. ومع ذلك، من المستحسن للحفاظ على عملية تتبع الأمن الصادرة.
====القائمة السوداء ====
مبدأ السياسة  '''القائمة السوداء ''' للسماح لحركة المرور الواردة كافة دون استثناء ومنع صراحة فقط المنافذ والبروتوكولات التي نحن على يقين من أنها تشكل خطرا على الأمن. ''
هذه السياسة الأمنية لديه العديد من العيوب مقارنة  <br>'البيضاء '''. في الواقع السماح لكافة حركات المرور بالدخول دون أي قيود غير مستحسن، حجب تشارك فقط في حالة المنفذ أو البروتوكول المعمول صراحة.
بشأن الصادرة في معظم الحالات لا تعتبر خطرة لكل إذن، بل لك من المفترض أن يعرف حركة المرور ترك الجهاز أو الشبكة الخاصة بك. ومع ذلك، من المستحسن للحفاظ على عملية تتبع الأمن الصادرة.
===[ايبتبلس] ===
[ايبتبلس] هو بالتأكيد الأكثر شهرة جدار حماية البرمجيات المتاحة ديبيان.

وإليك بعض الأوامر العملية بشأن :
;التثبيت من [ايبتبلس] 
''
; قائمة القواعد المتبعة حاليا 
<syntaxhighlight lang="bash"> sudo apt-get install iptables </syntaxhighlight>
; إزالة القواعد المرعية 
<syntaxhighlight lang="bash"> sudo iptables -L </syntaxhighlight>
;إضافة قاعدة 
<syntaxhighlight lang="bash">
sudo iptables -F
sudo iptables -X
</syntaxhighlight>
<syntaxhighlight lang="bash">
# Autoriser les connexions entrantes sur le port ssh(22) tcp depuis l'adresse ip x.x.x.x par exemple
sudo iptables -A INPUT -p tcp --dport ssh -s x.x.x.x -j ACCEPT
</syntaxhighlight> <div style="background-color: #FFCC99;">'ملاحظة ''': الاهتمام في حالة عنوان IP حيوي، كما سيتم تغيير الملكية الفكرية الخاصة بك سوف تكون غير قادر على تسجيل الدخول إلى غطاء المني على الخادم الخاص بك !''
كن حذراً عند تعيين عنوان IP التي يمكن أن تكون دينامية، وعلى سبيل المثال أن للإنترنت الخاص بك مربع في المنزل. <br>
;حذف قاعدة 
</div>


==فشل 2حظر ==
قد يكون من المفيد لتنفيذ خدمة  <syntaxhighlight lang="bash">
# Supprimer la règle n°2 de la catégorie OUTPUT
sudo iptables -D OUTPUT 2
</syntaxhighlight>'فشل 2حظر ''' على النظام الخاص بك منعا لأي خطر من هجوم  ''القوة الغاشمة ''. في الواقع الخدمة  '''فشل 2حظر ''' يسمح لك بحظر أي شخص عدم مصادقة عدد من المرات على الجهاز لوقت معين. ''
سوف تجد المزيد من المعلومات حول  <br>'فشل 2حظر ''' وتنفيذه في مقالة متاحة على العنوان ''.
[[:fr:Mettre en place fail2ban sur Debian|suivante]]
<br>
[[Category:خادم_مخصص]]
[[Category:لينكس]]
<br />

<br />
<comments />