સર્વર માટે સુરક્ષા દીવાલ સ્થાપના: DDoS અને બોટ હુમલાઓ સામે સર્વરનું રક્ષણ

સર્વર સુરક્ષા દીવાલ સ્થાપના એ એવી પ્રક્રિયા છે જેમાં સર્વર પર માત્ર જરૂરી પોર્ટ્સ જ ખુલ્લા રાખવામાં આવે છે અને બાકી તમામ અનિચ્છનીય ઍક્સેસને અવરોધવામાં આવે છે; તે DDoS, બ્રુટ ફોર્સ અને ખરાબ બોટ ટ્રાફિક સામે પ્રથમ રક્ષણ સ્તર તરીકે કામ કરે છે. હકીકતમાં હેતુ એ હોય છે કે SSH ઍક્સેસને નિયંત્રિત કરવું, વેબ સર્વિસીસને સાવધાનીથી ખુલ્લા રાખવા, શંકાસ્પદ વિનંતિઓ પર દર-સીમા લાગુ કરવી, લોગ્સનું નિરીક્ષણ કરવું અને શક્ય હોય તો CDN/WAF જેવા ઉપરના સ્તરના રક્ષણો સાથે ટ્રાફિકને સર્વર સુધી પહોંચતા અટકાવવું.

જ્યારે તમે તમારા વેબ સર્વર ને ઇન્ટરનેટ પર ખુલ્લો કરો છો, ત્યારે તરત જ પોર્ટ સ્કેનિંગ, SSH પ્રયાસો, ખામીઓ શોધનારા બોટ્સ અને ફેક યુઝર એજન્ટ સાથે સામનો થઈ શકે છે. ખાસ કરીને વર્ડપ્રેસ, ઇ-કોમર્સ, પેનલ, API અથવા ગેમિંગ સર્વર ચલાવતી જગ્યાએ સુરક્ષા દીવાલ માત્ર ટેકનિકલ પસંદગી નથી, પણ સતત કામગીરી માટે આવશ્યક છે. આ માર્ગદર્શિગમાં આપણે લિનક્સ સર્વર પર સ્ટેપ-બાય-સ્ટેપ સુરક્ષા દીવાલ ની રચના કરીશું; જેમાં UFW, firewalld, nftables, Fail2ban, વેબ એપ્લિકેશન ફાયરવોલ અને DDoS ઘટાડવાની રીતો શામેલ છે.

એક મહત્વની વાત સમજીએ: સ્થાનિક સર્વર સુરક્ષા દીવાલ એકલા મોટા પાયે DDoS હુમલાઓ અટકાવી શકતી નથી. 20 Gbps, 80 Gbps કે વધુ ડેટા સેન્ટર અથવા નેટવર્ક માટે આવે ત્યારે, પૅકેટ્સ તમારા ઓપરેટિંગ સિસ્ટમ સુધી પહોંચ્યા વગર બૅન્ડવિડ્થ ભરાઈ શકે છે. એટલે layered security, એટલે કે સ્તરવાર સુરક્ષા જરૂરી છે: પ્રદાતા સ્તરનું DDoS રક્ષણ, CDN/WAF, ઓપરેટિંગ સિસ્ટમની સુરક્ષા દીવાલ, એપ્લિકેશનમાં દર-નિયંત્રણ અને નિયમિત લોગ વિશ્લેષણ સાથે મળીને કામ કરવું જોઈએ. યોગ્ય ઇન્ફ્રાસ્ટ્રક્ચર પસંદગી માટે Hostragons VPS અને VDS સર્વર ઉકેલ અને વેબસાઇટ માટે સુરક્ષિત હોસ્ટિંગ વિકલ્પો માટે Hostragons વેબ હોસ્ટિંગ પેકેજ જુઓ.

સર્વર સુરક્ષા દીવાલ શું કામ કરે છે?

સર્વર સુરક્ષા દીવાલ એ નેટવર્ક ટ્રાફિકને સ્રોત IP, ગંતવ્ય IP, પોર્ટ, પ્રોટોકોલ, કનેક્શન સ્થિતિ અને કેટલાક સમયે પૅકેટ વિશેષતાઓ દ્વારા ફિલ્ટર કરતું સુરક્ષા સ્તર છે. સરળ ઉદાહરણ તરીકે, તમારી વેબસાઇટ માટે પોર્ટ 80 અને 443 ખુલ્લાં હોવા જોઈએ, પરંતુ ડેટાબેઝ પોર્ટ 3306 ઇન્ટરનેટ માટે બંધ હોવો જોઈએ. SSH માટે 22 નંબરનો પોર્ટ દરેક માટે ખુલ્લો રાખવાનો બદલે ફક્ત તમારા ઓફિસના IP પરથી જ ઍક્સેસ પરવાનગી આપવી વધુ સુરક્ષિત છે.

સુરક્ષા દીવાલનો મુખ્ય હેતુ તમામ હુમલાઓને જાદુઈ રીતે રોકવાનો નથી. હેતુ એ છે કે હુમલાના હુમલાખંડને ઓછું કરવું. જેટલો ઓછો હુમલાખંડ હશે, એટલા ઓછા વિકલ્પો હેકર પાસે રહેશે. ઉદાહરણ તરીકે, નવા લિનક્સ સર્વરમાં SSH, વેબ પેનલ, મેલ સર્વિસ, ડેટાબેઝ, મોનિટરિંગ એજન્ટ અને ટેસ્ટ સર્વિસ એક સાથે ખુલ્લી હોઈ શકે છે. દરેક અલગ જોખમ ઊભું કરે છે. સારું સુરક્ષા દીવાલ “ડિફોલ્ટ રૂલ તરીકે રિજેક્ટ કરો, જે જરૂરી હોય તે પરવાનગી આપો” ના સિદ્ધાંતથી ચાલે છે.

DDoS અને બોટ ટ્રાફિક સમજવું

DDoS હુમલા કેમ અલગ હોય છે?

DDoS એટલે ડિસ્ટ્રિબ્યૂટેડ ડિનાયલ ઓફ સર્વિસ, જે અનેક સ્ત્રોતોથી આવતી ભારે ટ્રાફિકથી લક્ષ્ય સર્વિસને અક્સેસ ન થતો બનાવવાનો પ્રયાસ કરે છે. આ حملો ક્યારેક બૅન્ડવિડ્થ ભરાવે છે, ક્યારેક સર્વરનું CPU અને RAM ખાપી જાય છે, ક્યારેક એપ્લિકેશન સ્તરે ભારે પ્રક્રિયાઓ ચલાવે છે. ઉદાહરણ તરીકે, એક નાનો એપ્લિકેશન સર્વર જે સેકન્ડમાં 50,000 HTTP વિનંતીઓ મેળવે છે, નેટવર્ક ભરાઈ ન હોવા છતાં PHP-FPM, Node.js કે ડેટાબેઝ કનેક્શન પૂલ કારણે જવાબ ન આપી શકે.

બોટ હંમેશા ખતરનાક હોય છે?

ના. Googlebot, Bingbot અને કેટલીક ટ્રેકિંગ બોટ્સ ઉપયોગી છે. પરંતુ ખરાબ બોટ્સ એડમિન પેનલ સ્કેનિંગ, ખાલી ડિરેક્ટરી શોધ, ફોર્મ સ્પેમ, કન્ટેન્ટ ચોરી, XML-RPC દુરૂપયોગ, નકલી રજીસ્ટ્રેશન અને લૉગિન પ્રયાસો કરે છે. એટલે બોટ મેનેજમેન્ટમાં હેતુ બધાં બોટ્સને રોકવાનો નથી, પરંતુ વ્યવહાર પ્રમાણે છટણી કરવાનો છે. વધારે ભૂલ દર, ખૂબ ઝડપથી અનેક વિનંતીઓ, નોન-બ્રાઉઝર હેડર્સ અને શંકાસ્પદ URL પેટર્ન મહત્ત્વના સંકેતો છે.

સ્થાપના શરૂ કરતા પહેલા ચકાસણી યાદી

લાઇવ સર્વર પર સુરક્ષા દીવાલ નિયમ બનાવતી વખતે સૌથી મોટો જોખમ એ છે કે તમે પોતાને સર્વરમાંથી બંધ કરી શકો. એટલે ફેરફાર કરતા પહેલા થોડું તૈયારી કરવી જરૂરી છે. નીચેની ચકાસણી યાદી પ્રોડક્શન વાતાવરણમાં સુરક્ષિત આરંભ માટે ઉપયોગી છે.

• એક્ટિવ SSH સત્ર બંધ ન કરો; બીજું ટર્મિનલ ઓપન રાખીને ટેસ્ટ કરો.
• સર્વર પ્રદાતા કન્સોલ, VNC કે રિકવરી ઍક્સેસ આપે છે તે ખાતરી કરો.
• હાલના ખુલ્લા પોર્ટ્સની યાદી બનાવો: ss -tulpn અથવા netstat -tulpn ની આઉટપુટ જુઓ.
• વેબ, મેઇલ, DNS, ડેટાબેઝ, પેનલ અને મોનિટરિંગ સર્વિસના પોર્ટ્સ નોંધો.
• જો IPv6 વાપરો છો તો IPv6 માટેના નિયમો પણ બનાવો.
• પહેલાં allow (પરવાનગી) નિયમો લગાવો, પછી deny (બંધ) નિયમો.
• નિયમો સ્થાયી હોય તે નિશ્ચિત કરો; સર્વર રિબૂટ પછી પણ રહે.

ઉદાહરણ તરીકે ફક્ત વેબસાઇટ હોસ્ટ કરતી સામાન્ય સર્વર પર સામાન્ય રીતે 80, 443 અને મર્યાદિત SSH પોર્ટ ખુલ્લા હોવા જોઈએ. જો મેઇલ સર્વર ચાલતો નથી તો 25, 465, 587, 993 જેવા પોર્ટ્સ ખુલ્લા હોવા જરૂરી નથી. જો ડેટાબેઝ ફક્ત સર્વર અંદરથી ઉપયોગ થાય તો 3306 અથવા 5432 પોર્ટ્સ ઇન્ટરનેટ માટે બંધ હોવા જોઈએ.

કયો સુરક્ષા દીવાલ ટૂલ પસંદ કરવો?

લિનક્સમાં ઘણા સાધનો છે અને મોટાભાગના એક જ કોર ફિલ્ટરિંગ માધ્યમ પર કામ કરે છે પરંતુ વપરાશ સરળતા અલગ હોય છે. નવા શીખનાર માટે UFW સરળ અને ઝડપી છે. એન્ટરપ્રાઇઝ અથવા Red Hat આધારિત સિસ્ટમમાં firewalld લોકપ્રિય છે. વધુ સુઘડ પરિસ્થિતિઓમાં nftables આધુનિક અને લવચીક છે. નીચેની ટેબલ પસંદગી સરળ બનાવે છે.

સ્ટેપ-બાય-સ્ટેપ સર્વર સુરક્ષા દીવાલ સ્થાપના

1. ખુલ્લા પોર્ટ્સ અને સર્વિસીસ શોધો

શરૂઆત માટે શું ખુલ્લું છે તે જોવા માટે Linux સર્વર પર ss -tulpn કમાન્ડ ચલાવો. ઉદાહરણ તરીકે nginx જો 0.0.0.0:80 અને 0.0.0.0:443 પર સાંભળી રહ્યો હોય તો તે બતાવે છે કે વેબ ટ્રાફિક તમામ ઇન્ટરફેસથી આવતી સ્વીકારવામાં આવે છે. MariaDB 0.0.0.0:3306 પર સાંભળી રહ્યો હોય તો તે જોખમી છે; મોટાભાગે ડેટાબેઝ ફક્ત 127.0.0.1 પર હોવા જોઈએ.

પ્રેક્ટિકલ નિયમ એ છે કે કોઈ પણ સર્વિસ જે ઇન્ટરનેટ પર ખુલ્લી હોવી નથી, તે 0.0.0.0 પર સાંભળી નહી. પહેલા સર્વિસ કન્ફિગર કરો અને પછી સુરક્ષા દીવાલથી બંધ કરો. કેમ કે ફાયરવોલ બંધ થાય તો પણ સર્વિસ બહાર ખુલ્લી ન હોવી જોઈએ.

2. ડિફોલ્ટ પોલિસી “બંધ” બનાવો

સુરક્ષિત નિયમોમાં ડિફોલ્ટ અંદર આવતી ટ્રાફિકને રિજેક્ટ અને બહાર જતી ટ્રાફિકને જરૂર મુજબ મંજૂરી આપવામાં આવે છે. આથી ભૂલથી સર્વિસ ઇન્ટરનેટ પર ખુલ્લી ન રહે. UFW વાળી Ubuntu સર્વર માટે લોજિક એ છે કે પહેલા SSH માટે પરવાનગી આપો, પછી 80 અને 443 પોર્ટ ખોલો, પછી ડિફોલ્ટ અંદર આવતી ટ્રાફિક deny કરો અને ફાયરવોલ ચાલુ કરો.

ઉદાહરણ: SSH માટે તમારા એડમિન IP ને પરવાનગી આપો, HTTP અને HTTPS ખોલો, બાકીના પોર્ટ્સ બંધ કરો અને ફાયરવોલ ચાલુ કરો. SSH પરવાનગી આપ્યા વગર ફાયરવોલ ચાલુ કરવું ખાસ કરીને રિમોટ સર્વર માટે સૌથી મોટો ખોટો પગલાં છે.

3. SSH ઍક્સેસને મર્યાદિત કરો

SSH સૌથી વધુ હેકરોએ ટાર્ગેટ કરેલ સર્વિસ છે. ડિફોલ્ટ 22 પોર્ટ ખુલ્લો હોવા પર દરરોજ અનેક પાસવર્ડ પ્રયાસો થઈ શકે છે. સૌથી સુરક્ષિત રીત એ છે કે SSH ઍક્સેસને ચોક્કસ IP એડ્રેસ સુધી મર્યાદિત કરવી. જો ફિક્સ IP હોય તો ફક્ત ઓફિસ કે VPN IPને પરવાનગી આપો. ન હોય તો SSH કી આધારિત ઓથેન્ટિકેશન જરૂરી છે અને પાસવર્ડ લૉગિન બંધ કરો.

• Root સાથે સીધું SSH લૉગિન બંધ કરો.
• પાસવર્ડની બદલે SSH કી નો ઉપયોગ કરો.
• AllowUsers અથવા AllowGroups થી યુઝર્સ મર્યાદિત કરો.
• Fail2ban થી નિષ્ફળ પ્રયાસો પર ઓટો બ્લોક લગાવો.
• જો એડમિન પેનલ હોય તો તેના પોર્ટ ઉપર પણ IP મર્યાદા લગાવો.

પોર્ટ બદલવાથી માત્ર આટલું જ સુરક્ષા નથી મળે, પણ ઓટો બોટ ટ્રાફિક ઓછું થાય છે. સાચું રક્ષણ IP મર્યાદા, મજબૂત ઓથેન્ટિકેશન અને લોગ નિરીક્ષણ દ્વારા થાય છે.

4. વેબ પોર્ટ્સ નિયંત્રિત રીતે ખોલો

વેબસાઇટ હોસ્ટ કરતી મોટાભાગની સર્વર્સ માટે 80 અને 443 પોર્ટ જરૂરી છે. પણ આજકાલ 443 (HTTPS) મુખ્ય ટ્રાફિક પોર્ટ હોવો જોઈએ અને 80 ફક્ત HTTPS પર રીડાયરેક્ટ માટે ઉપયોગ થવો જોઈએ. SSL સર્ટિફિકેટ વગરની સાઇટ્સ યૂઝર વિશ્વાસ અને SEO બંને માટે નુકસાનકારક છે. આ માટે Hostragons SSL પ્રમાણપત્રો એક પ્રાકૃતિક અંદરનો લિંક છે જે વાચકને સુરક્ષિત HTTPS સ્થાપન તરફ દોરી જાય છે.

જ્યારે વેબ પોર્ટ ખોલો ત્યારે તમારી સાચી IP પર ધ્યાન આપો. જો CDN કે રિવર્સ પ્રોક્સી વાપરો છો તો સર્વરનું 80 અને 443 પોર્ટ બધાને ન ખોલીને ફક્ત CDN IP રેન્જથી ટ્રાફિક આવવા દો. આથી હૅકરે સાચો સર્વર IP જાણતા હોવા છતાં સીધો ઍક્સેસ નહીં મળી શકે.

5. ડેટાબેઝ અને આંતરિક સર્વિસીસને ઇન્ટરનેટથી બંધ કરો

MySQL, MariaDB, PostgreSQL, Redis, Elasticsearch, MongoDB જેવી સર્વિસ ઈન્ટરનેટ પર ખુલ્લી રાખવી ગંભીર જોખમ છે. Redis માં ઓથેન્ટિકેશન ના હોવું, Elasticsearch માં અનધિકૃત ઍક્સેસ અને MongoDB માં ખુલ્લા મેનેજમેન્ટ પોર્ટથી ઘણા ડેટા લીક્સ થયા છે. આ સર્વિસીસ ફક્ત localhost અથવા પ્રાઇવેટ નેટવર્ક પર સાંભળી હોવી જોઈએ.

જેમ કે વર્ડપ્રેસ સાઇટ માટે ડેટાબેઝ 127.0.0.1 પર હોવો પૂરતો છે. જો એપ્લિકેશન અને ડેટાબેઝ અલગ સર્વર હોય તો માત્ર એપ્લિકેશન સર્વરનો પ્રાઇવેટ IP પરવાનગીમાં રાખો. 3306 કે 5432 પોર્ટ ખુલ્લા રાખવું એ બોટ્સ માટે સામાન્ય ફિશિંગ પોઈન્ટ છે.

6. Fail2ban થી બ્રુટ ફોર્સ નિવારણ

Fail2ban લોગ ફાઈલ્સ ચેક કરીને વારંવાર નિષ્ફળ પ્રવેશ પ્રયાસો શોધે છે અને તે IP ને ટૂંકા સમય માટે બ્લોક કરે છે. SSH, nginx, Apache, Postfix, Dovecot, WordPress લૉગિન અને કેટલાક પેનલ માટે jail ગોઠવી શકાય છે. ઉદાહરણ તરીકે 10 મિનિટમાં 5 નિષ્ફળ SSH પ્રયાસ કરનારા IP ને 1 કલાક માટે બ્લોક કરવું એક સારો આરંભ છે.

Fail2ban ની સેટિંગમાં ખૂબ જ ઝટપટ નિયમો ન લગાવો. ખોટા લોગ પૅટર્નથી વાસ્તવિક યૂઝર્સ પણ બ્લોક થઈ શકે છે. પ્રથમ તબક્કામાં bantime ની મર્યાદા સારું રાખો, લોગ દેખો અને પછી ધીમે ધીમે કડક બનાવો.

7. દર-સીમા અને કનેક્શન મર્યાદા ઉમેરો

DDoS અને બોટ ટ્રાફિક સામે ઓપરેટિંગ સિસ્ટમ સ્તરે દર-સીમા મદદરૂપ થાય છે. જો એક જ IP થી એક સેકન્ડમાં બહુ વધારે કનેક્શન આવે તો મર્યાદા લગાવી શકાય. nginx માટે limit_req અને limit_conn મોડ્યુલ, Apache માટે mod_evasive અથવા સમાન સાધનો વાપરી શકાય. એપ્લિકેશન સ્તરે લૉગિન, સર્ચ, કાર્ટ, પેમેન્ટ અને API માટે અલગ દર-સીમા જરૂરી છે.

ઉદાહરણ: લૉગિન પેજ પર એક IP માટે પ્રતિ મિનિટ 10 પ્રયાસ યોગ્ય છે. સર્ચ API માટે 2-5 વિનંતી પ્રતિ સેકન્ડ પર્યાપ્ત છે. API માટે યૂઝર આધારિત ટોકન, IP મર્યાદા અને વર્તન વિશ્લેષણ સાથે મિશ્રણ હજારાય છે જેથી હૅકરે IP બદલીને મર્યાદા વટાવી ન શકે.

UFW સાથે સલામત સ્થાપન ઉદાહરણ

Ubuntu અથવા Debian આધારિત સર્વર પર સરળ અને સલામત શરુઆત માટે: પહેલા સર્વિસ તપાસો, મેનેજર IP થી SSH ઍક્સેસ આપો, 80 અને 443 પોર્ટ ખોલો, ડિફોલ્ટ અંદર ટ્રાફિક બંધ કરો અને UFW સ્થિતિ ચકાસો. જો SSH ફિક્સ IP થી મર્યાદિત ન કરી શકો તો શરુઆતમાં બધાને SSH મંજૂરી આપો અને પછી VPN કે ફિક્સ IP તરફ શિફ્ટ કરો.

ઉદાહરણ: 203.0.113.10 એડમિન IP છે. SSH ફક્ત આ IP માટે ખુલ્લું. વેબ ટ્રાફિક 80 અને 443 પર બધા માટે ખુલ્લું. ડેટાબેઝ, Redis, પેનલ અને ટેસ્ટ પોર્ટ્સ બંધ. આ માળખું નાના અને મધ્યમ એન્ટરપ્રાઇઝ માટે સારું પ્રારંભિક પગલું છે. ડોમેન અને DNS માટે Hostragons ડોમેન તપાસ અને નોંધણી જુઓ.

firewalld અને ઝોન સિદ્ધાંત

AlmaLinux, Rocky Linux અને RHEL આધારિત સર્વર્સમાં firewalld લોકપ્રિય છે. firewalld ઝોન આધારિત છે. Public ઝોન ઇન્ટરનેટ માટે ખુલ્લા ઈન્ટરફેસ માટે, trusted ઝોન વિશ્વસનીય નેટવર્ક માટે અને drop ઝોન અનિચ્છનીય ટ્રાફિકને શાંત રીતે અટકાવવા માટે છે. સૌથી મહત્વની વાત runtime અને permanent નિયમોમાં તફાવત સમજવો છે. Runtime નિયમ તરત લાગુ પડે છે પણ રીબૂટ પર જાય શકે છે; Permanent નિયમ કાયમી છે પણ રિલોડ કરવાની જરૂર પડે છે.

એન્ટરપ્રાઇઝમાં firewalld ઉપયોગ કરતી વખતે સર્વિસ આધારિત નિયમો કામ સરળ બનાવે છે. જેમ કે http અને https ને public ઝોનમાં ખોલી શકો, અને ssh ફક્ત ચોક્કસ IP એડ્રેસથી જ ઍક્સેસ કરી શકાય તે રીતે બનાવી શકો. મેનેજમેન્ટ નેટવર્ક, બેકઅપ નેટવર્ક અને યૂઝર ટ્રાફિક અલગ ઈન્ટરફેસમાં હોય તો ઝોન માળખું સુરક્ષા અને સાફસફાઇ વધારશે.

CDN, WAF અને પ્રદાતા સ્તર DDoS રક્ષણ

સ્થાનિક ફાયરવોલ પૅકેટ્સ સર્વર સુધી પહોંચ્યા પછી નિર્ણય લે છે. મોટા DDoS હુમલામાં ટ્રાફિક સર્વર સુધી ન પહોંચે તે મહત્વનું છે. CDN સ્ટેટિક કન્ટેન્ટ નિકટવર્તી લોકેશન્સ પર આપે છે, WAF એપ્લિકેશન સ્તરના ખરાબ વિનંતિઓ ફિલ્ટર કરે છે અને પ્રદાતા સ્તરનું રક્ષણ નેટવર્ક સ્તરના ભારે હૂમલાઓને રોકે છે.

આદર્શ મોડેલ એ છે કે DNS એન્ટ્રીઝ CDN મારફતે જાય, સાચો સર્વર IP છુપાય, સર્વર ફાયરવોલ ફક્ત CDN IP રેન્જથી 80 અને 443 મંજૂર કરે અને મેનેજમેન્ટ પોર્ટ્સ VPN કે ફિક્સ IPથી જ ઍક્સેસ થાય. આ રીતે સીધો IP પર હુમલો ઘટે છે અને બોટ ટ્રાફિક એપ્લિકેશન સુધી પહોંચતા પહેલા અટકાય છે. વેબ સુરક્ષા અને પ્રદર્શન માટે વેબ સાઇટ ઝડપ વધારવા અને સુરક્ષા માર્ગદર્શિકાઓ જુઓ.

બોટ સામે એપ્લિકેશન સ્તર પર પગલાં

બોટ બ્લૉક કરવું ફક્ત IP બ્લૉકિંગ નથી. આધુનિક બોટ પ્રૉક્સી, મોબાઇલ નેટવર્ક, ડેટા સેન્ટર IP અને બદલાતા યૂઝર એજન્ટ વાપરે છે. એટલે વર્તન આધારિત અભિગમ જરૂરી છે. એકજ IP પરથી ઝડપથી અનેક લૉગિન પ્રયાસ, સતત 404 સ્કેન, wp-login.php અથવા xmlrpc.php નો વધારે ઉપયોગ, સામાન્ય યૂઝરથી અલગ ક્લિક પેટર્ન અને શંકાસ્પદ હેડર્સનું વિશ્લેષણ મહત્વનું છે.

• લૉગિન અને રજીસ્ટ્રેશન ફોર્મમાં દર-સીમા લાગુ કરો.
• અનાવશ્યક XML-RPC ઍક્સેસ બંધ કરો કે મર્યાદિત કરો.
• એડમિન પેનલને અલગ URL, IP મર્યાદા અને મલ્ટિફેક્ટર ઓથેન્ટિકેશન સાથે સુરક્ષિત કરો.
• શંકાસ્પદ યૂઝર એજન્ટ અને રેફરર પેટર્ન WAF સ્તરે ફિલ્ટર કરો.
• CAPTCHA અથવા અદૃશ્ય બોટ ચકાસણી મિકેનિઝમ સંતુલિત રીતે વાપરો.
• API એન્ડપોઇન્ટ માટે કી, સાઇન, ક્વોટા અને ટાઈમસ્ટેમ્પ ચકાસણીઓ ઉમેરો.

બોટ મેનેજમેન્ટમાં વપરાશકર્તા અનુભવ ન બગાડવો ખૂબ જ મહત્વનું છે. વધારે CAPTCHA, તીવ્ર અવરોધ અથવા ખોટા દેશ બ્લૉકથી વાસ્તવિક ગ્રાહકોને નુકસાન થાય. આ માટે માપદંડ, પરીક્ષણ અને ધીમે ધીમે કડક કરવું શ્રેષ્ઠ રીત છે.

લોગ નિરીક્ષણ અને એલાર્મ નિયમો

સ્થાપના પૂર્ણ સમજવી એ સામાન્ય ભૂલ છે. સુરક્ષા દીવાલ એક જીવંત સિસ્ટમ છે અને નિયમિત દેખરેખ જરૂરી છે. auth.log અથવા secure ફાઈલમાં SSH પ્રયાસો, nginx એક્સેસ લોગમાં અસામાન્ય વિનંતીઓ, error logs માં 404 અને 500 વધારાઓ, સિસ્ટમ મેટ્રિક્સમાં CPU અને કનેક્શન કાઉન્ટ ટ્રેક કરો. એક સરળ એલાર્મ પણ હુમલો શરૂ થાય ત્યારે મિનિટ બચાવે છે.

પ્રારંભ માટે ઉદાહરણ તરીકે: 5 મિનિટમાં એક જ IP થી 100થી વધુ 404 વિનંતીઓ, 1 મિનિટમાં લૉગિન પેજ પર 20થી વધુ પ્રયાસો, 10 મિનિટ સુધી CPUનું 90%થી ઉપર રહેવું, કનેક્શન સંખ્યા સામાન્ય કરતા 3 ગણું વધવું. આ મર્યાદા દરેક સાઇટ માટે અલગ હોઈ શકે; મહત્વનું એ છે કે સામાન્ય ટ્રાફિક પ્રોફાઇલ જાણવી.

સામાન્ય ભૂલો અને ટાળવાના ઉપાય

• SSH પરવાનગી વિના ફાયરવોલ ચાલુ કરવું: રિમોટ સર્વર પર ઍક્સેસ ગુમાવવાનો સૌથી મોટો કારણ. હંમેશા બીજો સત્ર ખોલીને પરીક્ષણ કરો.
• IPv6 ભૂલવી: IPv4 બંધ હોય ત્યારે IPv6 દ્વારા સર્વિસ ખુલ્લી રહી શકે છે.
• ડેટાબેઝ ઇન્ટરનેટ માટે ખુલ્લુ રાખવું: 3306, 5432, 6379, 9200 જેવા પોર્ટ્સ બોટ્સ દ્વારા સતત સ્કેન થાય છે.
• CDN વાપરીને સાચો IP ખુલ્લો રાખવો: હૅકરે CDN બાયપાસ કરી સીધો સર્વર પર હુમલો કરી શકે છે.
• નિયમો ડોક્યુમેન્ટ કર્યા વિના બદલાવ: તાત્કાલિક સમયમાં કઈ નિયમ શું કરે છે સમજવું મુશ્કેલ બને છે.
• બેકઅપ ઍક્સેસ યોજના ન બનાવવી: ખોટા નિયમથી કન્સોલ ઍક્સેસ ન મળતા ડાઉનટાઇમ વધે છે.

પ્રેક્ટિકલ સુરક્ષા દીવાલ નીતિ ઉદાહરણ

નાના કોર્પોરેટ વેબસાઇટ માટે લાગુ કરી શકાય તેવી નીતિ એવી હોઈ શકે: આવતા ટ્રાફિક ડિફોલ્ટ બંધ; 443 બધાને પૂરો ખુલ્લો; 80 ફક્ત HTTPS રીડાયરેક્ટ માટે; SSH ફક્ત VPN કે ફિક્સ એડમિન IP થી; ડેટાબેઝ લોકલહોસ્ટ કે પ્રાઇવેટ નેટવર્કમાં; CDN હોય તો 80 અને 443 ફક્ત CDN IP રેન્જ માટે; Fail2ban SSH અને વેબ લૉગિન ટ્રાયલ્સને મોનિટર કરે; લોગ્સ સેન્ટ્રલાઈઝ્ડ મોનિટરિંગમાં મોકલાય.

મધ્યમ કદની ઇ-કોમર્સ સાઇટ માટે આ સાથે પેમેન્ટ કોલબેક IP એમલીસ્ટ કરી શકાય, એડમિન પેનલ VPN પાછળ રાખી શકાય, API માટે યૂઝર આધારિત ક્વોટા લાગુ પડે, WAFમાં SQL Injection અને XSS નિયમો સક્રિય કરાય, દેશ કે ASN આધારે ટૂંકા સમય માટે ફિલ્ટરિંગ યોજના બનાવવી. આ નીતિ લખિત હોવી જોઈએ; હુમલો વખતે તરત નિર્ણય લેવા બદલે પૂર્વનિર્ધારિત પ્રક્રિયા અનુસરવાથી ડાઉનટાઇમ ઘટે છે.

ટેસ્ટિંગ: નિયમો ખરેખર કામ કરે છે?

સુરક્ષા દીવાલ સ્થાપન પછી જરૂરિયાત છે કે ટેસ્ટ કરાય. અલગ નેટવર્કથી પોર્ટ સ્કેન કરો, SSH ફક્ત પરવાનગી આપવામાં આવેલા IP થી કામ કરે છે તે ચકાસો, વેબસાઇટ HTTPS પર પહોંચે છે તે તપાસો, ડેટાબેઝ પોર્ટ બહાર બંધ છે કે નહીં તે જોવો. CDN વાપરો છો તો સર્વર IP પર સીધો HTTP વિનંતી મોકલી અવરોધિત થવાનું નિશ્ચિત કરો.

ટેસ્ટિંગ દરમિયાન પ્રોડક્શન પર ભારે સ્કેનિંગ ન કરો. હેતુ સુરક્ષિત ચકાસણી કરવાનો છે. સાથે સાથે દરેક ફેરફાર પછી નિયમોનું બેકઅપ રાખો કે નોટ કરો જેથી સમસ્યા આવે ત્યારે પહેલાનું સેટ અપ પાછું લાવી શકાય.

સર્વર જાળવણી અને અપડેટ યોજના

સર્વર સુરક્ષા એક વખતનું કામ નથી, નિયમિત જાળવણી છે. નવા સર્વિસ ઉમેરતી વખતે પોર્ટ જરૂરિયાત ચકાસો, જૂના સર્વિસ બંધ કરતી વખતે પરવાનગીઓ કાઢો, સુરક્ષા અપડેટ સમયસર લગાવો અને લોગ્સનું નિયમિત નિરીક્ષણ કરો. મહિને ઓછામાં ઓછું એકવાર ખુલ્લા પોર્ટ્સ ચકાસવાં અને ત્રિ-માસિક ફાયરવોલ નિયમ સમીક્ષા કરવી સારી પ્રથા છે.

સાથે સંગ્રહ યોજના સુરક્ષા નીતિનો ભાગ હોવી જોઈએ. DDoS હુમલાઓ ઍક્સેસ રોકી શકે છે, પણ રેન્સમવેર કે અનધિકૃત ઍક્સેસથી ડેટા ગુમાવવાની શક્યતા હોય છે. સુરક્ષિત હોસ્ટિંગ, SSL, ડોમેન મેનેજમેન્ટ અને બેકઅપ સાથે વિચારવું જરૂરી છે. આ માટે સુરક્ષિત હોસ્ટિંગ પસંદ કરતાં ધ્યાનમાં લેવાની બાબતો અને SSL પ્રમાણપત્રની સ્થાપના કેવી રીતે કરવી રસપ્રદ આગળના સંદર્ભો છે.

સારાંશ

સર્વર સુરક્ષા દીવાલ સ્થાપન DDoS અને બોટ્સ સામે સર્વરને સંપૂર્ણ રીતે અદૃશ્ય નથી બનાવતી, પરંતુ હુમલાખંડ ઘટાડે છે, અનધિકૃત ઍક્સેસ જોખમ ઘટાડી વધુ નિયંત્રિત રીતે હેન્ડલિંગની મંજૂરી આપે છે. શ્રેષ્ઠ પરિણામ માટે પ્રદાતા સ્તરનું DDoS રક્ષણ, CDN/WAF, કડક પોર્ટ નીતિ, SSH મર્યાદા, Fail2ban, દર-સીમા અને નિયમિત લોગ મોનિટરિંગ સાથે એકસાથે લાગુ કરવું જોઈએ.

જો તમે નવી પ્રોજેક્ટ શરૂ કરી રહ્યા છો તો સુરક્ષા દીવાલ નીતિ શરૂઆતમાં જ બનાવવી સરળ રહેશે. Hostragons પર સર્વર, હોસ્ટિંગ, ડોમેન અને SSL ઇન્ફ્રાસ્ટ્રક્ચર પસંદ કરતી વખતે સુરક્ષા જરૂરિયાતોને પણ ધ્યાનમાં રાખીને મજબૂત વેબ માહોલ બનાવી શકો છો. જરૂર પડે તો નાના ચેકલિસ્ટથી શરુ કરો: ખુલ્લા પોર્ટ બંધ કરો, SSH મર્યાદિત કરો, HTTPS ફરજિયાત કરો અને લોગ્સ મોનિટર કરો.

સામાન્ય પ્રશ્નો

સર્વર સુરક્ષા દીવાલ DDoS હુમલાને સંપૂર્ણ રોકે છે?

નહિ. સ્થાનિક ફાયરવોલ નાનાં અને કેટલાક પ્રોટોકોલ સ્તરના હુમલાઓ ઘટાડે શકે છે, પરંતુ મોટા DDoS માટે પ્રદાતા સ્તરનું રક્ષણ, CDN અને WAF જરૂરી છે.

વેબ સર્વર પર કયા પોર્ટ્સ ખુલ્લા રહેવા જોઈએ?

સામાન્ય રીતે 80 અને 443 પોર્ટ ખુલ્લા રહેવા જોઈએ. SSH ફક્ત એડમિન IP માટે મર્યાદિત હોવો જોઈએ. ડેટાબેઝ અને આંતરિક સર્વિસીસ માટે પોર્ટ્સ ઇન્ટરનેટ પર બંધ રાખવા જોઈએ.

UFW કે firewalld કયો વાપરવો?

Ubuntu અને Debian માટે UFW સરળ આરંભ આપે છે. AlmaLinux, Rocky Linux અને RHEL માટે firewalld લોકપ્રિય છે. વધુ સ્પેશલાઈઝ્ડ સેટિંગ માટે nftables પસંદ કરી શકાય.

બોટ ટ્રાફિક ફક્ત IP બ્લોકિંગથી રોકી શકાય?

સામાન્ય રીતે નહીં. આધુનિક બોટ વિવિધ IP અને પ્રૉક્સી વાપરે છે. IP બ્લોકિંગ સાથે દર-સીમા, WAF નિયમો, વર્તન વિશ્લેષણ, CAPTCHA અને એપ્લિકેશન ક્વોટા પણ જરૂરી છે.

સુરક્ષા દીવાલ બનાવતી વખતે સૌથી મોટો જોખમ શું છે?

સૌથી મોટો જોખમ ખોટી નિયમોથી પોતાનું SSH ઍક્સેસ કાપી દેવું છે. એટલે પહેલા SSH પરવાનગી સેટ કરો, બીજો સત્રથી ટેસ્ટ કરો અને પ્રદાતા કન્સોલ ઍક્સેસ ઉપલબ્ધ રાખો.