محمد نصیری
بنیانگذار انجمن تخصصی فناوری اطلاعات ایران ، هکر کلاه خاکستری ، کارشناس امنیت اطلاعات و ارتباطات

معرفی 6 نکته در امنیت هاستینگ | مهمترین نکات امن کردن هاست

آموزش امن کردن هاست اینترنتی به زبان خیلی ساده ، برای بسیاری از کارشناسان فناوری اطلاعات زمانیکه صحبت از امنیت هاستینگ یا webhosting security می شود همه به این موضوع فکر می کنند که محافظت از وب سایت در مقابل هکر ها و کدهای مخرب به معنی امنیت هاستینگ وب است.

دوره های شبکه، برنامه نویسی، مجازی سازی، امنیت، نفوذ و ... با برترین های ایران

اما بیشتر اوقات اصلا فراموش می کنیم که امنیت بستگی به اجزای دیگری هم دارد که از آن جمله می توانیم به سرور ، نرم افزار تحت وب ، پایگاه داده ، اسکریپت ها و ... اشاره کنیم. هیچوقت نباید فراموش کنیم که امنیت دارای سه فاکتور اصلی محرمانگی ، دسترسی پذیری و تمامیت و صحت داده است و هر کدام از این موارد به خطر بیوفتند امنیت ما در خطر افتاده است .

امن کردن هاستینگ | نکات امنیتی در هاستینگ

در این خصوص بصورت مفصل در توسینسو صحبت کرده ایم. از این بابت یکی از مهمترین فاکتورهای امنیت برای یک سرویس هاستینگ وب اطمینان از عملکرد مداوم و دارای بودن یک برنامه بازیابی از حادثه یا Disaster Recovery برای وب سرویس ها است. در این مقاله قصد داریم در انجمن تخصصی فناوری اطلاعات ایران در خصوص مراحلی که برای امن کردن و سرویس دهی مداوم فرآیند های عملیاتی وب هاستینگ باید انجام دهیم صحبت کنیم پس تا انتها با ما باشید.

نکته 1 : مهمترین اجزای امنیت در هاستینگ اینترنتی چیست؟

  1. امنیت سیستم عامل
  2. امنیت وب سرور
  3. امنیت نرم افزار
  4. امنیت کد نویسی

شما بسته به نیازی که دارید ممکن است از سرویس های هاستینگ Cloud ، VPS یا سرور مجازی ، سرور اختصاصی یا Dedicated Server و یا سرویس های هاست اشتراکی یا Shared Hosting استفاده کنید. در میان تمامی این سرویس های وب هاستینگ ، سرویس هاست اشتراکی یا Shared Hosting از کمترین درجه امنیتی برخوردار است زیرا همانطور که از اسمش هم پیداست در یک محیط اشتراکی مورد استفاده قرار می گیرد که بر روی یک سرور میزبان ممکن است صدها یا شاید هزاران وب سایت قرار داشته باشد.

قبلا در خصوص سیستم های Shared Hosting در توسینسو بصورت مفصل صحبت کرده ایم. در چنین سیستم هایی زمانیکه حساب کاربری یک مشتری یا حتی وب سایت یک مشتری دچار خطر شود این احتمال بسیار وجود دارد که سایر وب سایت های موجود بر روی همان سرور نیز دچار همان آسیب پذیری شوند و در نتیجه با خطر مواجه شوند.

علاوه بر اینها در محیط های هاستینگ اشتراکی همه کاربران از یک پایگاه داده استفاده می کنند ، تصور کنید اگر نقطه ضعف امنیتی بتواند پایگاه داده را دچار اختلال کند تمامی وب سایت هایی که از این پایگاه داده استفاده کرده اند بصورت همزمان تهدید خواهند شد.

از بحث انتخاب کردن سرویس هاستینگ اگر بگذریم ، شما باید اطمینان حاصل کنید که سرویس دهنده هاستینگ شما به شما یک سیستم عامل امن در حد مطلوب ارائه می کند ، طبیعی است که هیچوقت نمی توانیم ادعا کنیم یک سیستم عامل صد در صد امن داریم و بحث امنیت یک بحث کاملا نسبی است ، بنابراین سرویس دهنده باید حداقل ها را رعایت کرده باشد.

همیشه مطمئن شوید که سرویس دهنده هاستینگ شما قابلیت مقابله با حملات Denial Of Service یا DOS را دارد و حداقل یک سیستم تشخیص نفوذ تحت شبکه یا NIDS در شبکه هاستینگ خود راه اندازی و استفاده کرده است. بیشتر وب سایت های داینامیکی که امروزه طراحی می شوند از زبان های برنامه نویسی Server Side استفاده می کنند به این معنی که کد اصلی برنامه در سرور اجرا و نتیجه برای کلاینت ارسال می شوند.

زبان های برنامه نویسی وبی مثل PHP ، Python و Perl از این دسته هستند که این زبان ها به خودی خود دچار آسیب پذیری های خاص خود هستند که بایستی از نظر امنیتی حتما دیده شود. Webmaster ها خیلی دوست دارند که از ایمیلی استفاده کنند که دارای پسوند نام دامین خودشان است برای مثال من کاربر unity در توسینسو دوست دارم ایمیلی به شکل unity@tosinso.com داشته باشم ، به همین دلیل است که اکثر سرویس دهندگان هاستینگ این قابلیت را به شما می دهند که از سرویس های ایمیل رایگانی استفاده کنید و بتوانید ایمیلی با نام دامین اینترنتی خود ایجاد کنید.

  • امنیت هاستینگ هم جزئی از امنیت شبکه و امنیت وب و البته امنیت سیستم عامل به حساب می آید. برای یادگیری و پیشرفت در حوزه امنیت اطلاعات و آموزش هک و نفوذ ، یادگیری دوره آموزش سکیوریتی پلاس Security+ ، دوره آموزش CEH ( دوره آموزشی هک قانونمند ) را حتما به عزیزان توصیه می کنم. اگر می خواهید تبدیل به یک کارشناس حرفه ای تست نفوذ و امنیت اطلاعات شوید ، پیشنهاد می کنم مقاله چگونه هکر شویم را مطالعه کنید. همچنین اگر علاقه مند به مباحث تحلیل بدافزارها و ویروس های کامپیوتری هستید ، یادگیری دوره آموزش تحلیل بدافزار را توصیه می کنم.

اما نکته مهم در خصوص امنیت این سرویس های ایمیل این است که باید توجه کنید که محل نصب و راه اندازی این نرم افزارهای ایمیل بسیار مهم است ، ترجیحا به هیچ عنوان نرم افزار ایمیل را که درون سرویس های هاست اشتراکی است استفاده نکنید و یک سرور جداگانه برای نرم افزار ایمیل خود استفاده کنید ، قبلا در توسینسو در خصوص سرویس های ایمیل رایگان صحبت کرده ایم.

بنابراین اگر شما به دنبال یک راهکار خوب برای سرویس وب هاستینگ خود می گردید و یک وب سایت جدید طراحی کرده اید و نمی توانید از میان انواع سرویس های هاستینگ وب انتخاب کنید ، بهتر است همیشه در نظر داشته باشید که شما باید سرویسی را انتخاب کنید که سه سطح امنیتی نرم افزار ، شبکه و سرور را در سطح مناسبی به شما بتواند ارائه بدهد. علاوه بر این شما می توانید در هنگام انتخاب کردن یک سرویس هاستینگ وب از خودتان سئوالات زیر را بپرسید :

  1. آیا شبکه و سرور توانایی مقابله با حملات DOS را دارند ؟
  2. آیا در سرور یا شبکه سرویس هاستینگ ، فایروال لایه هفتم یا Web Application Firewall وجود دارد ؟
  3. آیا سیستم های تشخیص نفوذ یا IDS و یا سیستم جلوگیری از نفوذ یا IPS در شبکه هاستینگ شما وجود دارد ؟


با پاسخ دادن به سئوالات بالا تا حدودی می توانید از انتخاب یک سیستم هاستینگ وب تا حدودی مطمئن ، اطمینان حاصل کنید اما بحث ما در خصوص امنیت سرویس های هاستینگ ادامه دارد و در مقاله بعدی در خصوص قابل اعتماد بودن یا Reliability ، حفاظت در برابر حملات مخرب ، امنیت فیزیکی ، Backup و Access Control یا کنترل دسترسی در سرویس های هاستینگ وب صحبت خواهیم کرد ، اگر در خصوص این مقاله مطلب و نکته خاصی به نظرتان می رسد خوشحال می شویم در انتها از آن استفاده کنیم.

امن کردن هاستینگ | نکات امنیتی در هاستینگ

نکته 2 : Reliability یا قابل اعتماد بودن هاستینگ را جدی بگیرید

قابل اعتماد بودن یا Reliability یک سرویس هاستینگ زمانی مشخص می شود که وب سایت شما توجه هزاران یا شاید میلیون ها نفر در ماه یا در سال به خود جلب کند. همانند هر چیزی که در دنیا وجود دارد سخت افزارها هم برای خودشان محدودیت هایی دارند.

شما به هیچ عنوان نمی دانید که در چه زمانی و به چه دلیل و یا چگونه سخت افزار سرور شما ممکن است Crash کرده و از کار بیوفتد. به این نکته همیشه توجه داشته باشید که سخت افزار شما چه یک PC معمولی باشد و یا یک سرور سخت افزاری بسیار گرانقیمت و بزرگ به هر حال مستعد این است که دچار مشکل شود و از کار بیوفتد.

برای اطمینان از اینکه وب سایت شما همیشه در حال کار و فعالیت است ، باید همیشه به فکر استفاده از سرویس های هاستینگی باشید که قابلیت های hot standby را به شما می دهند که یعنی اینکه زمانیکه سرور اصلی شما دچار مشکل شد سرور جانبی بتواند بلافاصله عملیات سرور اصلی را بر عهده گرفته و شروع به سرویس دهی کند.

زمانیکه صحبت از قابل اعتماد بودن یا Reliability می شود ، سرویس های Cloud Hosting هم از نظر قابل اعتماد بودن و هم از نظر هزینه کاملا مناسب هستند. اما همیشه هم Cloud Hosting دارای مزیت نیست و علاوه بر این مزین هایی که به آن اشاره کردیم در حوزه Cloud Computing ما حریم خصوصی داده ها یا Data Privacy را خواهیم داشت که مشکلات خاص خودش را ایجاد می کند ، قبلا در خصوص Cloud Computing و Cloud Hosting در توسینسو مطالبی را نوشته ایم که بد نیست سری به آنها بزنید.

گام بعدی بعد از اطمینان پیدا کردن از بحث دسترسی پذیری یا Availability در وب سرورها این است که مطمئن شویم که در صورتیکه ترافیک سرور به شدت افزایش پیدا کرد ، این قابلیت را داشته باشیم که ترافیک را بین سرورهای مختلف تقسیم کنیم و در اصطلاح بتوانیم ترافیک را بین سرورهای موجود Load Balance کنیم. زمانیکه وب سایت شما ترافیک به شدت زیادی را تجربه کرد شما باید منابع کافی را در اختیار داشته باشید تا بتوانید به درخواست های کاربرانتان پاسخ دهید.

بنابراین با سرویس دهنده وب هاستینگ خود تماس بگیرید و از آنها در خصوص طرح های Load Balancing ای که دارند پرس و جو کنید. اگر زیاد درگیر مسائل حریم خصوصی داده ها و مشکلات مربوط به آن نیستید می توانید از سرویس های Cloud Hosting استفاده کنید تا قابلیت Load Sharing را براحتی در این سرویس ها تجربه کنید ، راهکار هاستینگ ابری یکی از به صرفه ترین راهکارها در زمانی است که می خواهید ترافیک بسیار بالایی را در وب سایت خود داشته باشید.
امن کردن هاستینگ | نکات امنیتی در هاستینگ

نکته 3 : آنتی ویروس و سرویس ضد بدافزار در هاستینگ مهم است

قبل از اینکه هرگونه سرویس وب هاستینگی بخرید ، از سرویس دهنده خود در خصوص روش ها و تکنیک هایی که برای جلوگیری از ورود ویروس و کدهای مخرب و سایر تکنیک های هکینگ استفاده می کنند سئوال کنید. این حق شما است که حداقل تا حدود زیادی دغدغه مربوط به کدهای مخرب و حملات معمول هکری را نداشته باشید.

حتما از آنها بپرسید که مثلا اگر احساس کردم وب سایت من در خطر است و امکان هک شدن آن وجود دارد چه خدماتی در اختیار من قرار می دهند ؟ و همچنین مطمئن شوید که سرویس دهنده شما در وهله های زمانی معینی ، سرورهای خود را بازرسی امنیتی می کند و نقاط ضعف احتمالی را پوشش می دهد. این جزو خدماتی است که یک سرویس دهنده باید بتواند انجام دهد و گزارش را در صورت نیاز شما برایتان ارسال کند که سرور شما دارای فلان نقاط ضعف امنیتی است و باید پوشش داده شود.

امن کردن هاستینگ | نکات امنیتی در هاستینگ

نکته 5 : امنیت فیزیکی را در سرویس هاستینگ بسیار جدی بگیرید

شما هر چقدر هم که سیستم عامل ، وب سرور ، آنتی ویروس ، سیستم تشخیص نفوذ ، فایروال و ... داشته باشید و حتی نرم افزار تحت وب شما هم هیچ مشکلی نداشته باشد در نهایت یک قانون در بحث امنیت اطلاعات وجود دارد که می گوید اگر من بتوانم کامپیوتر شما را لمس کنم ، کامپیوتر شما هک شده است. بنابراین قبل از هرگونه امنیت در لایه های مختلف امنیت بایستی در لایه فیزیکی فراهم شود.

شما باید از نظر امنیتی از مرکز داده یا Data Center ای که سرور شما در آن قرار گرفته است اطمینان حاصل کنید که هر کسی نتواند وارد اتاق سرور و مرکز داده شود و چه بسا به اطلاعات شما دست پیدا کند ، علاوه بر کنترل های دسترسی بایستی مطمئن شوید که مرکز داده ای که سرور شما در آن قرار گرفته است از نظر امنیتی در سطح بالایی قرار دارد ، آیا برق جانبی برای سرورها وجود دارد ؟ آیا سیستم اعلام و اطفاء حریق به درستی نصب شده است ؟ آیا تهویه هوا و تنظیمات رطوبت مرکز داده به درستی عملی می کند؟ و ...

امن کردن هاستینگ | نکات امنیتی در هاستینگ

نکته 6 : داشتن سرویس Backup گیری در هاستینگ از واجبات است

مهمترین رکن در احساس اطمینان و امنیت در یک وب سایت داشتن یک برنامه دقیق Backup گیری است. Backup گیری هم می تواند بصورت On-Site یعنی داخل همان مرکز داده ، بصورت Off-Site یعنی خارج از مرکز داده اصلی ، بصورت cloud backup و یا ترکیبی از آنها انجام شود.

شما می توانید یک کپی از اطلاعات وب سایت خود به همراه پایگاه داده آن را بصورت Local در سیستم خود بصورت زمانبندی شده نگهداری کنید ، این روش Backup گیری هر چند چندان قابل اعتماد نیست اما به هر حال برای خودش یک راهکار ساده برای رفع کوتی است ( واژه بهتری به نظرم نرسید به خدااا D: )

زمانیکه حجم پایگاه داده وب سایت شما حداکثر به چند صد مگابایت می رسد استفاده از این روش Backup گیری مشکلی ندارد و بعضا می تواند راهکار خوبی هم باشد اما زمانیکه صحبت از چندین گیگابایت یا بعضا چندین ترابایت داده برای Backup گیری به میان می آید این خیلی مهم است که یک راهکار انلاین قابل اعتماد برای Backup گیری داشته باشید.در چنین شرایطی شما بهتر است که یک سرور جداگانه به عنوان سرور Backup داشته باشید که بصورت متناوب و زمانبندی شده اطلاعات شما را Backup گیری و در سرور جانبی ذخیره سازی کند.

اما بهترین راهکار Backup گیری این است که Backup خود را در چند منطقه جغرافیایی مختلف نگهداری کنید تا درجه Reliability ساختار Backup خود را افزایش دهید. در ضمن همیشه به بحث فشرده سازی و رمزنگاری Backup های خود دقت کنید ممکن است با افشاء شدن یک فایل Backup افراد غیر مجاز به اطلاعات زیادی در خصوص وب سایت شما دست پیدا کنند.

امن کردن هاستینگ | نکات امنیتی در هاستینگ

نکته 6 : کنترل های دسترسی در هاستینگ مهم هستند

به این نکته توجه کنید که مدیریت کردن یک وب سرور و مدیریت یک وب سایت یک چیز نیستند و دو چیز متفاوت هستند. برخی اوقات پیش می آید که شما خودتان می توانید یک وب سرور را مدیریت کنید اما برخی اوقات هم پیش می آید که شما دانش لازم را ندارید و مجبور هستید وظایف مدیریتی وب سرور را بر عهده شخص دیگری قرار دهید.

دقت کنید در چنین مواقعی به گونه ای تفکیک وظایف و دسترسی ها را تعریف کنید که بتوانید بر روی کار افراد نظارت داشته باشید. در نهایت همیشه نمی توانیم در خصوص امنیت بصورت قطعی صحبت کنیم و ما به عنوان کارشناس امنیت فقط می توانیم کار هکرها را سخت تر کنیم


محمد نصیری
محمد نصیری

بنیانگذار انجمن تخصصی فناوری اطلاعات ایران ، هکر کلاه خاکستری ، کارشناس امنیت اطلاعات و ارتباطات

محمد نصیری هستم ، هکر قانونمند و کارشناس امنیت سایبری ، سابقه همکاری با بیش از 50 سازمان دولتی ، خصوصی ، نظامی و انتظامی در قالب مشاور ، مدرس و مدیر پروژه ، مدرس دوره های تخصص شبکه ، امنیت ، هک و نفوذ ، در حال حاضر در ایران دیگه رسما فعالیتی غیر از مشاوره انجام نمیدم و مقیم کشور ترکیه هستم ، عاشق آموزش و تدریس هستم و به همین دلیل دوره های آموزشی که ضبط می کنم در دنیا بی نظیر هستند.

نظرات