يعد FTP شخصية مخضرمة في تطبيقات الإنترنت، مما يسهل مشاركة الملفات من قبل مستخدمي المؤسسات. ومع ذلك، كانت المشكلات الأمنية موجودة دائمًا حول بروتوكول نقل الملفات (FTP). كيفية منع المهاجمين من سرقة معلومات مهمة من خوادم FTP عبر وسائل غير قانونية؛ كيفية منع المهاجمين من استخدام خوادم FTP لنشر أحصنة طروادة والفيروسات وما إلى ذلك. هذه هي المشكلات التي يجب على مسؤولي النظام الانتباه إليها. هذه المرة سأأخذ VSFTP، وهو الأكثر استخدامًا على نظام التشغيل Linux، كمثال للحديث عن كيفية تحسين أمان خادم FTP.
1. منع المستخدمين على مستوى النظام من تسجيل الدخول إلى خادم FTP.
من أجل تحسين أمان خادم FTP، من الأفضل لمسؤولي النظام إعداد حسابات FTP منفصلة للموظفين بدلاً من إعطاء المستخدمين على مستوى النظام للمستخدمين العاديين، الأمر الذي سيؤدي إلى مخاطر أمنية كبيرة. في خادم VSFTP، يمكن إدارة حسابات تسجيل الدخول من خلال ملف التكوين vsftpd.ftpusers. ومع ذلك، هذا الحساب مدرج في القائمة السوداء، ولن يتمكن الأشخاص المدرجون في هذا الحساب من استخدام حساباتهم لتسجيل الدخول إلى خادم FTP. بعد نشر خادم VSFTP، يمكننا استخدام الأمر vi لعرض ملف التكوين والعثور على أنه يحتوي بالفعل على العديد من الحسابات الافتراضية. من بينها، جذر المستخدم الفائق للنظام هو أيضًا من بينها. يمكن ملاحظة أنه لأسباب أمنية، يمنع خادم VSFTP الحساب الجذر من تسجيل الدخول إلى خادم FTP افتراضيًا. إذا أراد مسؤول النظام السماح لحسابات النظام مثل الجذر بتسجيل الدخول إلى خادم FTP، فيجب عليه حذف الجذر وأسماء المستخدمين الأخرى ذات الصلة في ملف التكوين هذا. ومع ذلك، فإن السماح لحساب النظام بتسجيل الدخول إلى خادم FTP سيكون له تأثير سلبي على أمانه، ولهذا السبب، لا أوصي مسؤولي النظام بالقيام بذلك. من الأفضل للمسؤولين عدم تغيير أي من حسابات النظام ذات الصلة في هذا الملف والاحتفاظ بإعدادات هذه الحسابات.
إذا كنت بحاجة لأسباب أخرى إلى تعطيل حسابات أخرى، فيمكنك إضافة أسماء الحسابات إلى هذا الملف. على سبيل المثال، قد يتم نشر خادم FTP وخادم قاعدة البيانات على الخادم في نفس الوقت. لأسباب أمنية، من الجيد إضافة حساب مسؤول قاعدة البيانات إلى هذه القائمة السوداء.
2. تعزيز الرقابة على المستخدمين المجهولين.
يشير المستخدمون المجهولون إلى تلك الحسابات التي لم يتم تعريفها في خادم FTP، ولا يزال مسؤول نظام FTP بحاجة إليها لتسجيل الدخول لسهولة الإدارة. ولكن بعد كل شيء، لم يحصلوا على إذن من الخادم من أجل تحسين أمان الخادم، يجب تقييد أذوناتهم. هناك أيضًا العديد من المعلمات على خادم VSFTP التي يمكن استخدامها للتحكم في أذونات المستخدمين المجهولين. يحتاج مسؤولو النظام إلى تنفيذ أعمال التكوين ذات الصلة بناءً على مستوى الأمان لخادم FTP. تجدر الإشارة إلى أنه كلما كانت مراقبة الأذونات للمستخدمين المجهولين أكثر صرامة، زاد أمان خادم FTP، ولكن في نفس الوقت سيتم أيضًا تقليل راحة وصول المستخدم. لذلك، في النهاية، لا يزال مسؤولو النظام بحاجة إلى تحقيق التوازن بين أمان الخادم والراحة.
فيما يلي العديد من التكوينات التي أوصي بها للمستخدمين المجهولين. إذا كنت لا تعرف كيفية تكوينها، فيمكنك الرجوع إلى هذه التكوينات. تأخذ هذه التكوينات في الاعتبار أمان الخادم وراحة المستخدم.
إحداها هي المعلمة anon_world_readable_only. تُستخدم هذه المعلمة بشكل أساسي للتحكم فيما إذا كان بإمكان المستخدمين المجهولين تنزيل الملفات القابلة للقراءة من خادم FTP. إذا تم نشر خادم FTP داخل المؤسسة ويتم استخدامه بشكل أساسي من قبل الموظفين الداخليين، فمن الأفضل تعيين هذه المعلمة على YES. ثم قم بوضع بعض نماذج الشركات الشائعة والمستندات الأخرى المتاحة للعامة عليها، حتى يتمكن الموظفون من تنزيل هذه المستندات بشكل مجهول. لن يؤثر هذا على أمان خادم FTP، ولكنه سيسهل أيضًا عمل الموظفين الآخرين.
والثاني هو المعلمة anon_upload_enable. تشير هذه المعلمة إلى ما إذا كان بإمكان المستخدمين المجهولين تحميل الملفات إلى خادم FTP تحت الوصول المجهول. عادةً، يجب تعيين هذه المعلمة على "لا". أي أنه لا يُسمح للمستخدمين بتحميل الملفات أثناء الوصول المجهول. بخلاف ذلك، إذا تمكن أي شخص من تحميل ملف، فإذا قام الطرف الآخر بتحميل ملف فيروس، فستعاني الشركة. لذلك، يجب منع المستخدمين المجهولين من تحميل الملفات. ولكن هناك استثناءات لهذا. على سبيل المثال، تستخدم بعض الشركات بروتوكول FTP لإجراء نسخ احتياطي للملفات. في هذا الوقت، إذا كان أمان شبكة الشركة مضمونًا، فيمكنك تعيين هذه المعلمة على YES، مما يسمح لنظام التشغيل باستدعاء أمر FTP لإجراء نسخ احتياطي للملفات على خادم FTP. في هذه الحالة، من أجل تبسيط نشر إجراءات النسخ الاحتياطي، غالبا ما يتم استخدام الوصول المجهول. لذلك، يجب السماح للمستخدمين المجهولين بتحميل الملفات على خادم FTP.
والثالث هو المعلمة anon_other_write_enable والمعلمة anon_mkdir_write_enable. تتضمن هاتان المعلمتان بشكل أساسي بعض الأذونات المتقدمة نسبيًا للمستخدمين المجهولين. على سبيل المثال، تشير المعلمة الأولى إلى أن المستخدم المجهول لديه أذونات أخرى غير تحميل وإنشاء أدلة فرعية، مثل تغيير أسماء الملفات على خادم FTP، وما إلى ذلك. تشير المعلمة الثانية إلى أنه يمكن للمستخدمين المجهولين إنشاء أدلة فرعية في ظل ظروف معينة. ستؤثر هذه الوظائف على أمان خادم FTP وأمن الملفات. لهذا السبب، ما لم يكن هناك سبب خاص، يجب تعطيل هذه الأذونات. أي قم بتعيين قيم هذه المعلمات على NO. أعتقد أنه ما لم يتم استخدام خادم FTP من قبل مسؤول النظام للمتعة، فيمكن تشغيل هذه المعلمات. بخلاف ذلك، فمن الأفضل تعيين هذه المعلمات على NO لتحسين أمان خادم FTP.
بشكل عام، يجب أن تتبع مراقبة المستخدمين المجهولين مبدأ الامتيازات الأقل. نظرًا لأن المستخدمين المجهولين هم مستخدمون غير مصرح لهم بواسطة خادم FTP، فلا يمكن إجراء التحكم في الوصول إلى الأذونات ذات المستوى العميق. ولهذا السبب، لا يمكن التحكم فيه إلا من خلال هذه المعلمات الأساسية.
3. التحكم في الدليل بشكل جيد.
عادةً، يحتاج مسؤولو النظام إلى إعداد أدلة جذر مختلفة لكل مستخدم مختلف. لأسباب أمنية ولمنع مستخدمين مختلفين من التدخل مع بعضهم البعض، يحتاج مسؤول النظام إلى إعداده بحيث لا يتمكن المستخدمون من الوصول إلى الدلائل الجذرية للمستخدمين الآخرين. على سبيل المثال، تقوم بعض الشركات بإنشاء حساب FTP لكل قسم لتسهيل تبادل الملفات. ثم لدى قسم المبيعات مبيعات دليل جذر؛ قسم المستودعات لديه أدوات دليل جذر. كموظفي مبيعات، يمكنهم الوصول إلى أي دليل فرعي ضمن الدليل الجذر الخاص بهم، لكن لا يمكنهم الوصول إلى دليل الجذر الخاص بمستخدم المستودع. وفي هذه الحالة، لن يتمكن موظفو قسم المبيعات من الوصول إلى ملفات مستخدم المستودع. يمكن ملاحظة أنه من خلال تقييد المستخدمين من الوصول إلى أدلة أخرى غير الدليل الجذر، من الممكن منع مستخدمين مختلفين من التدخل مع بعضهم البعض وتحسين أمان الملفات على خادم FTP. ولتحقيق هذا الغرض، يمكن ضبط المعلمة chroot_local_user على NO. بعد هذا الإعداد، لن يتمكن كافة المستخدمين الذين قاموا بتسجيل الدخول محليًا من إدخال أدلة أخرى غير الدليل الجذر. ومع ذلك، عند إجراء هذا التحكم، فمن الأفضل إعداد دليل يمكن للجميع الوصول إليه لتخزين بعض الملفات العامة. يجب علينا ضمان أمان الخادم دون التأثير على المشاركة والاتصال العادي للملفات.
4. الحد من معدل الإرسال.
في بعض الأحيان، من أجل ضمان التشغيل المستقر لخادم FTP، من الضروري الحد من معدل تحميل وتنزيل الملفات. على سبيل المثال، على نفس الخادم، يتم نشر خادم FTP وخادم البريد وما إلى ذلك بشكل منفصل. ولكي تتعايش خدمات التطبيقات هذه بسلام، يجب التحكم في الحد الأقصى لمعدل الإرسال الخاص بها. لأن النطاق الترددي لنفس الخادم له حد أقصى. إذا كانت خدمة التطبيق تشغل نطاقًا تردديًا كبيرًا نسبيًا، فسيكون لها تأثير سلبي على خدمات التطبيقات الأخرى، بل وتتسبب في عدم قدرة خدمات التطبيقات الأخرى على الاستجابة لاحتياجات المستخدم بشكل طبيعي. مثال آخر هو أنه في بعض الأحيان يحتاج FTP إلى تعيين حدود قصوى للمعدل اعتمادًا على الغرض منه. إذا تم استخدام FTP للنسخ الاحتياطي للملفات وتحميلها وتنزيلها في نفس الوقت، فمن أجل تحسين كفاءة النسخ الاحتياطي للملفات وتقصير وقت النسخ الاحتياطي، من الضروري تحديد الحد الأقصى لمعدل تحميل وتنزيل الملفات.
من أجل تنفيذ قيود معدل الإرسال، يمكن لمسؤول النظام تعيين المعلمة local_max_rate. بشكل افتراضي، هذه المعلمة غير ممكّنة، أي أنه لا يوجد حد أقصى للمعدل. ومع ذلك، بناءً على الأسباب المذكورة أعلاه، ما زلت أوصي مسؤولي النظام بتعيين هذه المعلمة قبل وضع خادم FTP في الإنتاج. منع التأثيرات السلبية على خدمات التطبيقات الأخرى بسبب الاستهلاك المفرط للنطاق الترددي للتحميل والتنزيل. يحتاج مسؤولو النظام إلى تحقيق التوازن بين خدمات التطبيقات المختلفة وتخصيص النطاق الترددي بشكل معقول. تأكد على الأقل من أن كل خدمة تطبيق يمكنها الاستجابة لطلبات العملاء بشكل طبيعي. بالإضافة إلى ذلك، عندما يكون ذلك ممكنًا، من الضروري إجراء عملية خارج أوقات الذروة. على سبيل المثال، يتم نشر خادم البريد وخادم FTP على مضيف واحد في نفس الوقت. يستخدم خادم FTP بشكل أساسي للنسخ الاحتياطي للملفات. لذلك، لمنع النسخ الاحتياطي للملفات من التأثير السلبي على إرسال واستقبال البريد الإلكتروني (نظرًا لأن النسخ الاحتياطي للملفات يتطلب نطاقًا تردديًا كبيرًا نسبيًا، مما سيقلل بشكل كبير من سرعة إرسال واستقبال البريد الإلكتروني)، فمن الأفضل فصل النسخ الاحتياطي للملفات عن فترة الذروة من إرسال واستقبال البريد الإلكتروني. إذا كان وقت الذروة لإرسال واستقبال رسائل البريد الإلكتروني هو عادة عندما تذهب إلى العمل في الصباح، فلا تستخدم خدمة FTP للنسخ الاحتياطي للملفات. أثناء استراحة الغداء، أقوم عمومًا بإرسال واستقبال رسائل بريد إلكتروني أقل. عند هذه النقطة يمكنك استخدام FTP للنسخ الاحتياطي للملفات. ولذلك، إذا تم تشغيل خادم FTP وخدمات التطبيقات الأخرى في غير ساعات الذروة، فيمكن تعيين المعدل أعلى لتحسين كفاءة تشغيل خدمة FTP. وبطبيعة الحال، هذا يفرض متطلبات عالية نسبيا على مسؤولي النظام. لأن مسؤولي النظام يحتاجون إلى تحليل التطبيقات المختلفة ثم وضع خطط شاملة بناءً على نشر الخادم. ما لم تكن هناك تدابير أعلى وظروف أفضل، فمن الضروري زيادة معدل الإرسال لخادم FTP. وإلا فإنه سيكون له تأثير سلبي للغاية على خدمات المعلومات الأخرى المنتشرة في المؤسسة ويسبب ازدحامًا على شبكة المؤسسة.