نموذج التهديد وسطح الهجوم

الهدف

قبل تقوية (hardening) أي خادم، يجب أن تعرف ما الذي تحميه، وممّن تحميه، ومن أين يمكن للمهاجم أن يدخل. ستخرج من هذا الدرس بطريقة جرد بسيطة ستعيد استعمالها في جميع الدروس التالية.

أهم النقاط

• التقوية (hardening) تعني نزع كل ما لا يحتاجه النظام وإقفال ما تبقّى. وهي ليست تثبيت « برنامج أمني ».
• نموذج التهديد (threat model) يجيب عن ثلاثة أسئلة: ما الأصول؟، ما التهديدات؟، ما الإجراءات؟
• سطح الهجوم (attack surface) هو كل ما يمكن للمهاجم أن يصل إليه: المنافذ المفتوحة، الحسابات، البرامج المثبّتة، الملفات ذات الصلاحيات الواسعة جدًا، والأشخاص.
• مبدآن يوجّهان هذا التكوين بأكمله: التقليص (minimisation: أشياء أقل = ثغرات أقل) والدفاع في العمق (defense in depth: عدة حواجز مستقلة).
• نقيس قبل ونقيس بعد: دون جرد أولي، يستحيل إثبات أن الخادم أصبح أكثر أمانًا.

1. لماذا نقوّي الخوادم؟ ثلاث حالات مغربية

مقاولة صغيرة ومتوسطة في الدار البيضاء تبيع عبر الإنترنت. يعمل موقعها على خادم VPS مستأجر. ذات صباح، تعرض الصفحة الرئيسية رسالة قرصان. السبب: إضافة ويب لم تُحدَّث قط، وحساب SSH باسم admin بكلمة المرور Admin2024.

مستشفى في فاس لديه خادم لحجز المواعيد. يحتوي الخادم على أسماء وأرقام هواتف وأسباب الاستشارة. هذه معطيات ذات طابع شخصي بمفهوم القانون 09-08، تحت مراقبة CNDP (اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي). أي تسريب يُحمّل المؤسسة المسؤولية.

بنك في الرباط يخضع لقواعد صارمة: القانون 05-20 المتعلق بالأمن السيبراني وتوجيهات DGSSI (المديرية العامة لأمن نظم المعلومات). يطلب المدقّقون أدلة: إعدادات مكتوبة، سجلات، تقرير تدقيق.

في الحالات الثلاث، ليس السؤال « هل يمكن مهاجمة خادمي؟ » (نعم، سيُهاجَم) بل « كم من الجهد سيبذله المهاجم، وهل سأرى الهجوم؟ ».

2. بناء نموذج تهديد في 15 دقيقة

خذ ورقة، أو ملفًا نصيًا بسيطًا، واملأ ثلاثة أعمدة.

اطرح بعد ذلك سؤال « من؟ »:

• الروبوت الذي يمسح الإنترنت كله (الأكثر شيوعًا: بعد دقائق قليلة من وضعه على الإنترنت، يتلقّى خادم VPS محاولات SSH)؛
• المجرم السيبراني الذي يبحث عن خادم يشفّره مقابل فدية؛
• المطّلع من الداخل (insider): موظف سابق، أو مقدّم خدمة لم يُغلق حسابه قط؛
• الخطأ البشري: ملف نسخة احتياطية تُرك في مجلد الويب.

تحمي التقوية أساسًا من الأوّلَين ومن الأخير. أما ضد المطّلع من الداخل، فنحتاج إضافة إلى ذلك إلى إجراءات تنظيمية: إغلاق الحسابات عند المغادرة، وتتبّع الأفعال (الدرس 3.2).

3. قياس سطح الهجوم

هذا هو الجرد الأولي الذي يجب القيام به على كل خادم. جميع هذه الأوامر للقراءة فقط: لا تغيّر أي شيء.

# أي نظام، وأي إصدار؟ (مدة الدعم تتوقف على ذلك)
cat /etc/os-release
uname -r                          # إصدار النواة (kernel)

# من يستمع على الشبكة؟ (TCP وUDP، مع البرنامج)
ss -tulpn
#  0.0.0.0:22   ← مفتوح للجميع
#  127.0.0.1:3306 ← محلي فقط (جيد لقاعدة بيانات)

# أي حسابات يمكنها فتح جلسة؟
awk -F: '$7 !~ /(nologin|false)$/ {print $1, $7}' /etc/passwd

# من يمكنه أن يصبح root؟
getent group sudo wheel           # sudo على Debian/Ubuntu، وwheel على Rocky
ls /etc/sudoers.d/

# كم عدد البرامج المثبّتة؟ (كل حزمة ثغرة محتملة)
dpkg -l | grep -c '^ii'           # Debian / Ubuntu
rpm -qa | wc -l                   # Rocky / RHEL

# أي خدمات تنطلق مع تشغيل الجهاز؟
systemctl list-unit-files --state=enabled

# أي برامج تُنفَّذ بصلاحيات مالكها (SUID)؟
find / -xdev -type f -perm -4000 2>/dev/null

احتفظ بهذه المخرجات في مجلد مؤرّخ، مثلًا /root/inventaire/2026-10-19/. في نهاية التكوين، ستعيد الجرد نفسه وتقارن.

4. المبادئ التي توجّه كل قرار

التقليص. الخدمة غير المثبّتة لا يمكن اختراقها. قبل « تأمين » خادم FTP، اسأل نفسك هل ما زال مفيدًا.

أدنى الصلاحيات (least privilege). لكل حساب ولكل خدمة الصلاحيات التي يحتاجها فقط. لا ينبغي لخادم الويب أن يكتب في ملفات PHP الخاصة به.

الدفاع في العمق. جدار ناري (firewall)، إضافة إلى SSH مُقوّى، إضافة إلى fail2ban، إضافة إلى السجلات: إذا سقط حاجز، يصمد الذي يليه.

قابلية التتبّع. ما لا يُسجَّل لم يحدث. دون سجلات، يستحيل شرح حادث للإدارة، أو لـ CNDP، أو لـ maCERT (فريق الاستجابة الوطني التابع لـ DGSSI).

قابلية التراجع. كل تغيير يُدوَّن ويُختبر ويمكن التراجع عنه. لا نقوّي أبدًا خادمًا في الإنتاج دون وحدة تحكّم احتياطية (console) (وصول VNC من المزوّد، أو console الآلة الافتراضية).

5. المراجع المعيارية: لا داعي لإعادة اختراع العجلة

لست وحدك. تنشر عدة هيئات قوائم توصيات:

• ANSSI (الوكالة الفرنسية): Recommandations de configuration d'un système GNU/Linux (توصيات إعداد نظام GNU/Linux). مجاني، تحت Licence Ouverte (الرخصة المفتوحة)، وباللغة الفرنسية. يصنّف الإجراءات حسب المستوى (أدنى، متوسط، معزّز، عالٍ).
• CIS Benchmarks (Center for Internet Security): أدلة مفصّلة جدًا لكل توزيعة. قراءتها مجانية، لكن رخصتها تمنع نسخها.
• DGSSI: تحدّد التوجيهية الوطنية لأمن نظم المعلومات (DNSSI) قواعد للإدارات العمومية وللبنيات التحتية ذات الأهمية الحيوية في المغرب.

يتبع هذا التكوين الروح نفسها ويعلّمك كيف تطبّق هذه الإجراءات، ثم كيف تتحقّق منها باستعمال Lynis (الدرس 4.1).

6. كيف ستجري التطبيقات العملية

تُنجَز التطبيقات العملية على آلتك الافتراضية الخاصة (أبدًا على حاسوبك الشخصي، وأبدًا على خادم في الإنتاج):

sudo ml demarrer hardening-1-1    # يُهيّئ الآلة ويعرض المهام
# … تعمل …
sudo ml verifier                  # يتحقّق من كل مهمة

بعض الدروس تعدّل ملفات حسّاسة (SSH، الجدار الناري). حتى لا تقطع الوصول عن نفسك أبدًا، سنعمل غالبًا على نسخة داخل /root/durcir/، نختبرها قبل تطبيقها. أبقِ دائمًا console الآلة الافتراضية مفتوحة.

حسب الإصدار

أخطاء متكررة

• التقوية دون جرد: لن تعرف أبدًا ما الذي حسّنته فعلًا، ولا ما الذي أفسدته.
• نسخ قائمة أوامر وُجدت على الإنترنت دون فهم: إنها أفضل طريقة لقطع SSH عن نفسك أو لتعطيل تطبيق.
• نسيان الحسابات « المنسية »: مقدّم خدمة غادر وما زال لديه shell نشط هو باب مفتوح. الحساب sync (الـ shell /bin/sync) أمر عادي على Debian.
• الاعتقاد بأن خادم VPS « جديدًا تمامًا » آمن: صور المستضيفين غالبًا ما تكون فيها المصادقة عبر SSH بكلمة المرور مفعّلة.

التطبيق العملي (Lab)

ستبدأ جرد خادمك:

1. تدوين النظام وإصداره انطلاقًا من /etc/os-release؛
2. إغلاق حساب مقدّم خدمة غادر؛
3. سرد الحسابات التي ما زال بإمكانها فتح جلسة؛
4. كتابة أول نموذج تهديد لك في ثلاثة أعمدة.

اختبار قصير

1. ما الأعمدة الثلاثة لنموذج التهديد؟
2. في مخرجات ss -tulpn، ما الفرق بين 0.0.0.0:3306 و127.0.0.1:3306؟
3. لماذا تكون الخدمة غير المثبّتة أكثر أمانًا من خدمة مُعدّة جيدًا؟
4. اذكر مرجعين للتقوية والفرق بين رخصتيهما.
5. لماذا نحتاج إلى console احتياطية قبل تقوية SSH أو الجدار الناري؟

المراجع: دليل ANSSI لـ GNU/Linux (Licence Ouverte)، توثيق Red Hat، صفحات الدليل (man). نص أصلي من MasterLinux.