۱۴۰۲-۱۰-۲۷ 
۸ دقیقه 
۰ 
وب‌سرور، یکی از مهره‌های اصلی و حیاتی در تامین امنیت وب‌سایت و از قضا، بیشترین و مهم‌ترین هدف در حملات هکرهاست!
تا وقتی که جای داده‌ها، سرویس‌ها و نرم‌افزارهایی که روی وب‌سرور ذخیره می‌شوند امن نباشد، راه نفوذ به سایت و دسترسی غیرمجاز به اطلاعات هم برای هکرها باز است و می‌توانند مثل آب خوردن به سایتتان رخنه کنند.
برای اینکه بتوانید سایتتان را در برابر این حملات مجهز کنید، باید یک‌سری ترفند و ابزارهای امنیتی را برای افزایش امنیت وب سرور به کار ببندید.
در این مقاله می‌خواهیم راجع‌به همین راهکارها صحبت کنیم و با شناسایی رایج‌ترین حملات وب‌سرور، راه را برای نفوذ هکرها به وب سرور سد کنیم!
برای شروع بیایید مروری بر تعریف وب‌سرور داشته باشیم.
💡 وب‌سرور چیست؟اگر بخواهیم خیلی خلاصه و ساده بگوییم، وب‌سرور نرم‌افزاری است که مثل یک گارسون، وظیفه رساندن خوراک (محتوا و صفحه جست‌وجوشده توسط کاربر) را از آشپزخانه (سرور) به میز مشتری (کاربر یا همان کلاینت) برعهده دارد! در واقع وب‌سرور واسطه‌ای بین کلاینت و سرور است که عهده‌دار کارهایی مثل ذخیره اطلاعات، دریافت و پردازش درخواست‌های کاربران و ارسال پاسخ به آن است. جزئیات مربوط به چیستی و نحوه کار وب‌سرور را می‌توانید در مقاله «وب‌سرور چیست» بخوانید. |
برگردیم سر بحث خودمان!
چرا امنیت وب سرور مهم است؟
همان‌طور که گفتیم، تمام صفحات و محتوای سایت شما مثل فایل‌های صوتی و تصویری، نرم‌افزارها، رکوردهای دیتابیس و… روی وب‌سرورها ذخیره و نگهداری می‌شوند تا هر وقت نیاز شد، وب‌سرور بین این داده‌ها کندوکاو کند و با پردازش درخواست کاربر مناسب‌ترین پاسخ را به او تحویل دهد.
این را هم گفتیم که وب‌سرورهای ناامن برای هکرها مثل یک لقمه آماده و چرب و چیلی هستند که می‌توانند خیلی راحت و در کسری از ثانیه مورد حمله قرار بگیرند و اطلاعات‌شان به سرقت برود.
خب اگر این دو گزاره را کنار هم قرار دهیم، جواب این سوال روشن می‌شود!
وب‌سرور برای اینکه بتواند از داده‌های سایت شما محافظت کند و مانع دسترسی افراد غیرمجاز به آنها شود، باید امنیت بالایی داشته باشد.
📌 اطلاعات اضافی برای خوره‌ها!امنیت وب سرور شامل دو بخش است:
از آنجایی که داده‌های هر سایت مهم‌ترین و باارزش‌ترین دارایی آن است، اکثر حملات وب سرور هم همین داده‌ها را هدف می‌گیرد. تامین امنیت داده‌های روی وب سرور، به امنیت سیستم‌عامل سرور و کنترل دسترسی‌های افراد مجاز گره خورده است. در واقع امنیت این داده‌ها با رمزگذاری دیتاها و استفاده از نرمافزارهای تشخیص و شناسایی نفوذ به سیستم مهیا می‌شود. سرویس‌های در حال اجرا روی وب سرور هم معمولاً از طریق فایروال‌ها و نرمافزارهای آنتی‌ویروس محافظت می‌شوند. فایروال برنامه‌ای است که تمام ترافیک ورودی و خروجی از وب‌سرور را بررسی و تمام ترافیک‌های مشکوک یا خطرناک را شناسایی و مسدود می‌کند. |
احتمالاً می‌خواهید بدانید بیشتر چه نوع حملاتی امنیت وب سرور را به خطر می‌اندازند. در بخش بعدی به این سوال پاسخ می‌دهیم.
رایج‌ترین ضعف‌های امنیتی وب سرور کداماند؟
با وجود اینکه وب‌سرورها نقش خیلی مهمی در ارتباطات اینترنتی دارند، اما هنوز در برابر بعضی حملات، آسیب‌پذیرند.
سه تا از رایج‌ترین این حملات، حملات DoS ،XSS و SQL است.
حملات DoS
در حمله denial of service یا به اختصار DoS، هکر سعی می‌کند با ارسال بیش از حد درخواست و ایجاد سیلی از ترافیک به یک سایت و سرور، آن را از پا دربیاورد و با کاهش چشمگیر سرعت سایت، عملاً آن را از دسترس کاربران دیگر خارج کنند.
اگر همین حمله داس به‌شکل سیستماتیک انجام شود و سایت، در آن واحد از سمت چندین سیستم هماهنگ مورد هدف قرار بگیرد، حمله دیداس (DDOS) اتفاق می‌افتد.
شدت حمله دیداس نسبت به داس خیلی بیشتر و شناسایی و جلوگیری از آن هم سخت‌تر است. در مقاله «حمله DDoS چیست و چگونه انجام می‌شود؟» راجع‌به چند و چون این حمله توضیح دادهایم.
حمله داس معمولاً با استفاده از ربات‌ها و ابزارهای مخربی انجام می‌شود که منابع CPU و پهنای باند شبکه مورد هدف را مصرف و سایت را فلج می‌کنند!
| 🧩 پیشنهاد خواندنی: کلود فلر چیست؟ آشنایی با CDN کلودفلر (به زبان ساده) |
حملات XSS (Cross-Site Scripting)
هدف اصلی در حملات Cross-site scripting یا XSS سرقت اطلاعات کاربران از طریق تزریق کدهای جاوا اسکریپت و به خطر انداختن تعامل کاربران با وب‌سایت مورد هدف است.
در واقع در این حمله، هکر خودش را به شکل کاربر معمولی سایت درمی‌آورد و این‌طوری با سواستفاده از اطلاعات و دسترسی‌‌هایی که آن کاربر دارد، می‌تواند اطلاعات مهم آنها مثل حساب‌های بانکی، رمزهای عبور و… را سرقت کند.
تزریق کد SQL
آخرین دسته از حملات که نتیجه ضعف امنیت وب سرور است، حملات تزریق کد SQL هستند. این حملات یکی از رایج‌ترین و خطرناک‌ترین حملات به وب سرور است که مستقیماً پایگاه داده یا دیتابیس سایت را هدف می‌گیرد.
در این نوع حمله، هکر، یک‌سری کدهای مخرب را در فیلدهای ورود اطلاعات یک سایت یا اپلیکیشن مبتنی بر داده (data-driven) وارد می‌کند.
وقتی که این کدها به دیتابیس آن سایت یا اپلیکیشن تزریق می‌شود، هکر به اطلاعات و داده‌های دیتابیس دسترسی پیدا می‌کند، می‌تواند آنها را حذف، دستکاری یا افشا کند!
برای اینکه بتوانید از سایتتان در برابر چنین حملاتی محافظت کنید، باید امنیت وب سرور را با انجام تمهیداتی بالا ببرید. در بخش بعدی راهکارهای مفیدی را معرفی کرده‌ایم.
| 🧩 پیشنهاد خواندنی: سرور چیست؟ آشنایی با مفهوم و انواع سرور (به زبان ساده) |
۸ نکته طلایی برای افزایش امنیت وب سرور
مسئله امنیت وب سرور شوخی‌بردار نیست و توضیح دادیم که در صورت نواقص امنتی در آن، چه مشکلاتی می‌تواند گریبان‌گیرتان شود. پس اگر موافقید برویم سر اصل مطلب و ببینیم چطور می‌توانیم امنیت در سرورهای وب را برقرار کنیم!
۱) یک پسورد قوی انتخاب کنید
اولین و راحت‌‌ترین کاری که می‌توانید برای افزایش امنیت وب سرور انجام دهید، انتخاب یک پسورد قوی و پیچیده است. رمز عبورهایی که با اطلاعات شخصی‌تان مثل نام و نام خانوادگی، تاریخ تولد و… ساخته می‌شوند به‌راحتی برای هکرها قابل حدس‌اند و گزینه مناسبی برای حفاظت از داده های شما نیستند!
علاوه بر این، بهتر است برای محکم‌کاری، مدت طولانی از یک رمز عبور استفاده نکنید و پسوردتان را هر چند ماه یکبار تغییر دهید. قبلاً در مقاله دیگری، روش ساخت پسورد سخت و پیچیده را توضیح دادهایم.
۲)از پروتکل‌های ایمن برای رمزگذاری داده‌ها استفاده کنید
یکی از بهترین کارها برای افزایش ایمنی ارتباطات و انتقال داده‌ها، رمزنگاری داده‌ها بر اساس پروتکل‌های ایمن و استاندارد است.
رمزنگاری داده‌ها با استاندارهای TLS v1.2 و AES، امنیت وب سرور را تا حد زیادی بالا می‌برد. علاوه بر این، می‌توانید (البته این کار بایدی است!) پروتکل HTTPS (SSL/TLS) را هم فعال کنید تا اطلاعات کاربرانی که از سمت وب‌سرور به سایت شما ارسال می‌شود، رمزگذاری شده و دسترسی به آن نمی‌گوییم غیرممکن، دشوار شود.
| 🧩 پیشنهاد خواندنی: پروتکل https چیست؟ چه فرقی با HTTP دارد و چرا به آن نیاز داریم؟ |
۳) نرم‌افزارها را همیشه آپدیت نگه دارید
قدیمی بودن نرم‌افزارها روی سایت و وب‌سرور، یک‌سری باگ‌هایی رو در عملکرد آنها ایجاد و نفوذ به آنها را راحت‌تر می‌کند.
پس یکی دیگر از مهم‌ترین کارهایی که می‌توانید برای تامین امنیت وب سرور انجام دهید، آپدیت کردن دائمی تمام نرم‌افزارها مطابق با آخرین نسخه منتشرشده از آن‌هاست؛ از سیستم‌عامل و قالب و افزونه‌های سایت گرفته تا سرویس‌ها و نرمافزارهای خود وب‌سرور.
۴) ماژول‌ها و افزونه‌های غیرضروری را حذف کنید
ماژول‌ها و پلاگین‌هایی که به دردتان نمی‌خورد یا مدت زیادی است که از آنها استفاده نکردید را حذف و غیرفعال کنید؛ مخصوصاً اگر از نسخه نال‌شده این افزونه‌ها استفاده می‌کنید. چرا؟
چون هکرها می‌توانند با دسترسی به کد منبع این افزونه‌ها، تغییرات مخربی را در آن ایجاد کنند و از این طریق برایتان دردسر درست کنند!
۵) با مانیتورینگ سرور، داده‌ها و لاگ‌های سرور را آنالیز کنید
مانیتورینگ دائمی سرور و وب‌سرور، همیشه شما را یک قدم از هکرها جلو می‌اندازد. با رصد و نظارت بر عملکرد شبکه، دیتابیس، سیستم‌عامل و سایر اجزای سیستم، می‌توانید ضعف‌ها یا مشکلات احتمالی را شناسایی و قبل از اینکه دیر شود، فوراً جلوی خرابکاری‌های امنیتی را بگیرید.
فقط یادتان باشد که گزارش‌های مربوط به وب‌سرور را در یک منطقه جداگانه نگه دارید و به‌طور منظم آنها را بررسی کنید. جلوتر چند ابزار امنیتی هم معرفی می‌کنیم.
| 🧩 پیشنهاد خواندنی: مانیتورینگ سایت چیست؟ (+ معرفی هاست ترکر و چند ابزار کاربردی برای مانیتورینگ) |
۶) حساب‌های کاربری، مجوزها و دسترسی‌ها را دوباره چک کنید
دسترسی کاربران متعدد به فایل‌ها، دیتابیس، دایرکتوری‌ها و سرویس‌های شبکه می‌تواند امنیت وب سرور را به خطر بیندازد. پس بهتر است که سطح دسترسی و مجوزهای کاربران را محدود کنید و حداقل دسترسی را به آنها بدهید.
در ضمن بهتر است حساب‌های پیش‌فرضی که در حین نصب سیستم‌عامل یا نرمافزارهای دیگر ایجاد می‌شوند را هم غیرفعال کنید.
۷) داده‌های برنامه‌های وب را از اسکریپت‌ها جدا کنید
داده‌های مربوط به وب اپلیکیشن‌ها و اسکریپت‌ها باید در یک پارتیشن یا درایو جداگانه از سیستم‌عامل و سایر فایل‌ها ذخیره شوند؛ چون در غیر این صورت، هکرهایی که به روت وب‌سرور دسترسی دارند می‌توانند به کل دیسک از جمله فایل‌های سیستم دسترسی پیدا کرده و آنها را از بین ببرند.
بهترین ابزارهای امنیتی وب سرور کداماند؟
استفاده از ابزارهای امنیتی برای وب‌سرور، یک انتخاب نیست، یک ضرورت است! با این ابزارها می‌توانید عملکرد وب‌سرور و اجزای وابسته به آن را دائماً رصد کنید، خطرات احتمالی را شناسایی و در دم آنها را خنثی کنید.
اگر می‌خواهید از ابزارهای منبع‌باز استفاده کنید، این موارد گزینه خوبی هستند:
- Snort
- Nmap
- OpenVAS
- Metasploit
- Sqlmap
تمام این ابزارها، با آنالیز و بررسی ترافیک ورودی و خروجی سایت، تجزیه‌وتحلیل پروتکل و تطبیق آن با الگو، بدافزارها، مهاجم‌ها و حملات احتمالی را شناسایی و از وقوع آن جلوگیری می‌کنند.
اگر از کنترل‌پنل پلسک استفاده می‌کنید، این ابزارها سازگاری خیلی خوبی با این کنترل‌پنل دارند:
- Sentinel Anti-malware
- Kernelcare
- BitNinja
- Atomic Secured Linux
- (D)DoS Deflate Interface
| 🧩 پیشنهاد خواندنی: وب سرور Lighttpd چیست و چگونه کار می‌کند؟ |
نکات تکمیلی
در این بخش می‌خواهیم به دو تا از سوالات احتمالی شما درباره وب‌سروها پاسخ بدهیم و کم‌کم پرونده این مقاله را هم ببندیم. سوال اول:
کدام وب‌سرور ایمن‌تر است؟
اگر بخواهیم یک لیست از بهترین و امن‌ترین وب‌سرورهای دنیا درست کنیم، احتمال گزینه‌های زیادی کاندید حضور در این لیست می‌شوند؛ ولی اگر فقط بخواهیم چند تا از آنها را معرفی کنیم، می‌توانیم به وب‌سرور لایت اسپید، آپاچی و NGINX اشاره کنیم.
و سوال دوم:
آیا می‌توان وب‌سرور را هک کرد؟
بله! همان‌طور که در این مقاله فهمیدیم، وب‌سرورها در برابر حملات سطح شبکه و سیستم‌عامل مثل حملات داس، XSS و تزریق کد SQL آسیب‌پذیر هستند.
برای افزایش امنیت وب سرور همین حالا اقدام کنید!
به پایان این مقاله رسیدیم و فهمیدیم که یک وب‌سرور ناامن می‌تواند چه آسیبی به سایتتان بزند و آن را در معرض چه خطراتی قرار دهد. البته به همین بسنده نکردیم و چند راهکار موثر را هم برای افزایش امنیت در سرورهای وب بررسی کردیم.
امیدواریم که این مقاله در شناسایی و رفع رخنه‌های امنیتی وب‌سرورتان مفید بوده باشد و از راهکارها نتیجه گرفته باشید.
راستی! خوشحال می‌شویم نظرتان را درباره این مقاله بشنویم و اگر سوالی دارید، به آنها پاسخ دهیم.
دیدگاه ها
اولین نفری باشید که دیدگاه خود را ثبت می کنید