ਸਰਵਰ ਸੁਰੱਖਿਆ ਫਾਇਰਵਾਲ ਦੀ ਸਥਾਪਨਾ: ਸਰਵਰ ਨੂੰ DDoS ਅਤੇ ਬਾਟਾਂ ਖਿਲਾਫ ਬੰਦ ਕਰਨਾ

ਸਰਵਰ ਸੁਰੱਖਿਆ ਫਾਇਰਵਾਲ ਦੀ ਸਥਾਪਨਾ, ਸਰਵਰ ਤੇ ਸਿਰਫ਼ ਲੋੜੀਂਦੇ ਪੋਰਟ ਖੁਲੇ ਰੱਖ ਕੇ ਬੇਪਹੁੰਚ ਸਾਰੇ ਐਕਸੈਸ ਨੂੰ ਰੋਕਣ ਦੀ ਪ੍ਰਕਿਰਿਆ ਹੈ; DDoS, ਬਰੂਟ ਫੋਰਸ ਅਤੇ ਹਾਨਿਕਾਰਕ ਬਾਟ ਟ੍ਰੈਫਿਕ ਖਿਲਾਫ ਪਹਿਲਾ ਸੁਰੱਖਿਆ ਪੱਧਰ ਬਣਾਉਂਦੀ ਹੈ। ਵਿਆਵਹਾਰਕ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਤੋਂ, ਲਕਸ਼ ਹੈ; SSH ਐਕਸੈਸ ਨੂੰ ਸੀਮਿਤ ਕਰਨਾ, ਵੈਬ ਸਰਵਿਸਜ਼ ਨੂੰ ਨਿਯਮਿਤ ਢੰਗ ਨਾਲ ਖੋਲ੍ਹਣਾ, ਸ਼ੱਕੀ ਬੇਨਤੀਆਂ ਨੂੰ ਦਰਸ਼ਾਨ ਸੀਮਾ ਵਿਚ ਰੱਖਣਾ, ਲੌਗਾਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨਾ ਅਤੇ ਜਿੱਥੇ ਸੰਭਵ ਹੋਵੇ CDN/WAF ਵਰਗੀਆਂ ਉੱਚ ਪੱਧਰ ਸੁਰੱਖਿਆ ਨਾਲ ਟ੍ਰੈਫਿਕ ਨੂੰ ਸਰਵਰ ਤੱਕ ਪਹੁੰਚਣ ਤੋਂ ਪਹਿਲਾਂ ਫਿਲਟਰ ਕਰਨਾ।

ਜਦੋਂ ਤੁਸੀਂ ਇੱਕ ਵੈਬ ਸਰਵਰ ਨੂੰ ਇੰਟਰਨੈਟ 'ਤੇ ਖੋਲ੍ਹਦੇ ਹੋ, ਤਾਂ ਕੁਝ ਮਿੰਟਾਂ ਵਿਚ ਤੁਹਾਨੂੰ ਪੋਰਟ ਸਕੈਨਿੰਗ, SSH ਕੋਸ਼ਿਸ਼ਾਂ, ਖ਼ਤਰੇ ਵਾਲੇ ਬਾਟ ਅਤੇ ਜਾਲਸਾਜ਼ ਯੂਜ਼ਰ ਏਜੰਟਾਂ ਦਾ ਸਾਹਮਣਾ ਕਰਨਾ ਪੈ ਸਕਦਾ ਹੈ। ਖਾਸ ਕਰਕੇ ਜੇਕਰ ਤੁਸੀਂ ਵਰਡਪ੍ਰੈੱਸ, ਈ-ਵਪਾਰ, ਪੈਨਲ, API ਜਾਂ ਖੇਡਾਂ ਦੇ ਸਰਵਰ ਚਲਾ ਰਹੇ ਹੋ, ਤਾਂ ਫਾਇਰਵਾਲ ਸਿਰਫ਼ ਤਕਨੀਕੀ ਚੋਣ ਨਹੀਂ, ਸਗੋਂ ਲਗਾਤਾਰਤਾ ਲਈ ਜ਼ਰੂਰੀ ਹੈ। ਇਸ ਗਾਈਡ ਵਿਚ, ਅਸੀਂ ਲਿਨਕਸ ਸਰਵਰਾਂ 'ਤੇ ਲਾਗੂ ਕੀਤਾ ਜਾਣ ਵਾਲਾ ਇੱਕ ਫਾਇਰਵਾਲ ਆਰਕੀਟੈਕਚਰ ਕਦਮ ਦਰ ਕਦਮ ਬਣਾਵਾਂਗੇ; UFW, firewalld, nftables, Fail2ban, ਵੈਬ ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ ਫਾਇਰਵਾਲ ਅਤੇ DDoS ਘਟਾਉਣ ਦੇ ਤਰੀਕੇ ਨੂੰ ਸਾਂਝਾ ਕਰਾਂਗੇ।

ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਤਥ੍ਯ ਨਾਲ ਸ਼ੁਰੂ ਕਰੀਏ: ਸਥਾਨਕ ਸਰਵਰ ਸੁਰੱਖਿਆ ਫਾਇਰਵਾਲ ਇਕੱਲੇ ਵੱਡੇ ਪੈਮਾਨੇ ਦੇ DDoS ਹਮਲਿਆਂ ਨੂੰ ਰੋਕ ਨਹੀਂ ਸਕਦਾ। ਜਦੋਂ 20 Gbps, 80 Gbps ਜਾਂ ਹੋਰ ਉੱਚ ਪੈਮਾਨੇ ਦਾ ਹਮਲਾ ਡੇਟਾ ਸੈਂਟਰ ਜਾਂ ਨੈੱਟਵਰਕ ਮੋਟਰੇਸ ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ, ਤਾਂ ਪੈਕੇਟ ਤੁਹਾਡੇ ਕਾਰਜਕਾਰੀ ਸਿਸਟਮ ਦੇ ਨਿਯਮ ਸੈੱਟ ਤੱਕ ਪਹੁੰਚਣ ਤੋਂ ਪਹਿਲਾਂ ਬੈਂਡਵਿਡਥ ਨੂੰ ਭਰ ਸਕਦੇ ਹਨ। ਇਸ ਲਈ ਸਹੀ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਪੱਧਰਬੰਦੀ ਸੁਰੱਖਿਆ ਹੈ: ਪ੍ਰਦਾਤਾ ਪੱਧਰ 'ਤੇ DDoS ਸੁਰੱਖਿਆ, CDN/WAF, ਕਾਰਜਕਾਰੀ ਸਿਸਟਮ ਫਾਇਰਵਾਲ, ਐਪਲੀਕੇਸ਼ਨ ਦਰਸ਼ਨ ਸੀਮਾ ਅਤੇ ਨਿਯਮਤ ਲੌਗ ਵਿਸ਼ਲੇਸ਼ਣ ਨੂੰ ਇਕੱਠੇ ਕੰਮ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। ਉਚਿਤ ਢਾਂਚਾ ਚੋਣ ਲਈ Hostragons VPS ਅਤੇ VDS ਸਰਵਰ ਹੱਲ ਪੰਨੇ ਤੇ, ਵੈਬ ਸਾਈਟ ਪਾਸੇ ਸੁਰੱਖਿਅਤ ਹੋਸਟਿੰਗ ਦੇ ਵਿਕਲਪਾਂ ਲਈ Hostragons ਵੈੱਬ ਹੋਸਟਿੰਗ ਪੈਕੇਜ ਪੰਨੇ 'ਤੇ ਲਿੰਕ ਦਿੱਤਾ ਜਾ ਸਕਦਾ ਹੈ।

ਸਰਵਰ ਫਾਇਰਵਾਲ ਕੀ ਕਰਦਾ ਹੈ?

ਸਰਵਰ ਫਾਇਰਵਾਲ, ਨੈੱਟਵਰਕ ਟ੍ਰੈਫਿਕ ਨੂੰ ਮੂਲ IP, ਲਕਸ਼ IP, ਪੋਰਟ, ਪ੍ਰੋਟੋਕੋਲ, ਕਨੈਕਸ਼ਨ ਸਥਿਤੀ ਅਤੇ ਕੁਝ ਹਾਲਤਾਂ ਵਿੱਚ ਪੈਕੇਟ ਦੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਦੇ ਆਧਾਰ 'ਤੇ ਫਿਲਟਰ ਕਰਨ ਵਾਲਾ ਸੁਰੱਖਿਆ ਪੱਧਰ ਹੈ। ਸਧਾਰਣ ਉਦਾਹਰਨ ਦੇ ਤੌਰ 'ਤੇ; ਤੁਹਾਡੀ ਵੈਬ ਸਾਈਟ ਲਈ 80 ਅਤੇ 443 ਪੋਰਟ ਖੁਲੇ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ, ਪਰ ਡੇਟਾਬੇਸ ਪੋਰਟ 3306 ਇੰਟਰਨੈਟ 'ਤੇ ਖੁਲਾ ਨਹੀਂ ਹੋਣਾ ਚਾਹੀਦਾ। SSH ਲਈ 22 ਨੰਬਰ ਪੋਰਟ ਨੂੰ ਹਰੇਕ ਨੂੰ ਕੋਸ਼ਿਸ਼ ਕਰਨ ਦੀ ਆਗਿਆ ਦੇਣ ਦੇ ਬਜਾਏ ਸਿਰਫ਼ ਤੁਹਾਡੇ ਦਫ਼ਤਰ ਦੇ IP ਪਤਾ ਤੋਂ ਕਨੈਕਸ਼ਨ ਦੀ ਆਗਿਆ ਦੇਣਾ ਵਧੀਆ ਹੈ।

ਫਾਇਰਵਾਲ ਦਾ ਮੁੱਖ ਉਦੇਸ਼ ਸਾਰੇ ਹਮਲਿਆਂ ਨੂੰ ਜਾਦੂਈ ਢੰਗ ਨਾਲ ਖਤਮ ਕਰਨਾ ਨਹੀਂ ਹੈ। ਅਸਲ ਲਕਸ਼ ਹਮਲੇ ਦੀ ਸਤਹ ਨੂੰ ਘੱਟ ਕਰਨਾ ਹੈ। ਹਮਲਾ ਜਿੰਨਾ ਛੋਟਾ ਹੋਵੇਗਾ, ਹਮਲਾਵਰ ਦੁਆਰਾ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ ਜਾਣ ਵਾਲੀ ਵਿਕਲਪਾਂ ਦੀ ਗਿਣਤੀ ਵੱਧ ਘੱਟ ਹੋਵੇਗੀ। ਉਦਾਹਰਨ ਲਈ, ਨਵੇਂ ਸਥਾਪਤ ਲਿਨਕਸ ਸਰਵਰ 'ਤੇ SSH, ਵੈਬ ਪੈਨਲ, ਮੇਲ ਸਰਵਿਸ, ਡੇਟਾਬੇਸ, ਮਾਨੀਟਰਿੰਗ ਏਜੰਟ ਅਤੇ ਟੈਸਟ ਸਰਵਿਸ ਨੂੰ ਇੱਕਸਾਥ ਖੁੱਲਾ ਰੱਖਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਇਹਨਾਂ ਵਿੱਚੋਂ ਹਰ ਇੱਕ ਵੱਖਰਾ ਖਤਰਾ ਪੈਦਾ ਕਰਦਾ ਹੈ। ਚੰਗੀ ਤਰ੍ਹਾਂ ਸੰਰਚਿਤ ਫਾਇਰਵਾਲ "ਡਿਫਾਲਟ ਰੂਪ ਵਿੱਚ ਰੱਦ ਕਰੋ, ਲੋੜੀਂਦਾ ਦੀ ਆਗਿਆ ਦਿਓ" ਦੇ ਨਿਯਮ ਨਾਲ ਕੰਮ ਕਰਦਾ ਹੈ।

DDoS ਅਤੇ ਬਾਟ ਟ੍ਰੈਫਿਕ ਨੂੰ ਸਮਝਣਾ

DDoS ਹਮਲੇ ਕਿਉਂ ਵੱਖਰੇ ਹੁੰਦੇ ਹਨ?

DDoS, ਯਾਨੀ ਵੰਡਿਆ ਹੋਇਆ ਸੇਵਾ ਰੋਕਣ ਦਾ ਹਮਲਾ, ਬਹੁਤ ਸਾਰੇ ਸਰੋਤਾਂ ਤੋਂ ਆ ਰਹੇ ਗੰਭੀਰ ਟ੍ਰੈਫਿਕ ਨਾਲ ਨਿਸ਼ਾਨਾ ਬਣਾਈ ਗਈ ਸੇਵਾ ਨੂੰ ਅਣਪਹੁੰਚ ਬਣਾ ਦੇਣ ਦਾ ਉਦੇਸ਼ ਰੱਖਦਾ ਹੈ। ਹਮਲਾ ਕਈ ਵਾਰ ਬੈਂਡਵਿਡਥ ਨੂੰ ਭਰ ਦਿੰਦਾ ਹੈ, ਕਈ ਵਾਰ ਸਰਵਰ ਦੇ CPU ਅਤੇ RAM ਸਰੋਤਾਂ ਨੂੰ ਖਤਮ ਕਰ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਕਈ ਵਾਰ ਐਪਲੀਕੇਸ਼ਨ ਪੱਧਰ 'ਤੇ ਮਹਿੰਗੇ ਕਾਰਵਾਈਆਂ ਨੂੰ ਚਾਲੂ ਕਰ ਦਿੰਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਸੈਕਿੰਡ 'ਚ 50,000 HTTP ਬੇਨਤੀਆਂ ਪ੍ਰਾਪਤ ਕਰਨ ਵਾਲਾ ਛੋਟਾ ਐਪਲੀਕੇਸ਼ਨ ਸਰਵਰ, ਨੈੱਟਵਰਕ ਲਾਈਨ ਭਰੀ ਨਾ ਹੋਣ ਦੇ ਬਾਵਜੂਦ PHP-FPM, Node.js ਜਾਂ ਡੇਟਾਬੇਸ ਕਨੈਕਸ਼ਨ ਪੂਲ ਦੇ ਕਾਰਨ ਜਵਾਬ ਨਹੀਂ ਦੇ ਸਕਦਾ।

ਕੀ ਬਾਟ ਸਦਾ ਖਰਾਬ ਹੁੰਦੇ ਹਨ?

ਨਹੀਂ। Googlebot, Bingbot ਅਤੇ ਕੁਝ ਨਿਗਰਾਨੀ ਬਾਟ ਲਾਭਦਾਇਕ ਹੁੰਦੇ ਹਨ। ਪਰ ਜੋਹਾਂ ਹਾਨਿਕਾਰਕ ਬਾਟ ਪ੍ਰਬੰਧਨ ਪੈਨਲ ਸਕੈਨਿੰਗ, ਖੁੱਲੇ ਡਾਇਰੈਕਟਰੀ ਖੋਜ, ਫਾਰਮ ਸਪਾਮ, ਸਮੱਗਰੀ ਦੀ ਨਕਲ, XML-RPC ਦੁਰਵਰਤਨ, ਜਾਲਸਾਜ਼ ਰਿਕਾਰਡ ਬਣਾਉਣਾ ਅਤੇ ਲੌਗਿਨ ਕੋਸ਼ਿਸ਼ਾਂ ਕਰਦੇ ਹਨ। ਇਸ ਲਈ ਬਾਟ ਪ੍ਰਬੰਧਨ ਵਿੱਚ ਉਦੇਸ਼ ਸਾਰੇ ਬਾਟਾਂ ਨੂੰ ਰੋਕਣਾ ਨਹੀਂ, ਸਗੋਂ ਵਿਵਹਾਰ ਦੇ ਆਧਾਰ 'ਤੇ ਅੰਤਰ ਕਰਨਾ ਹੈ। ਉੱਚ ਗਲਤੀਆਂ ਦੀ ਗਿਣਤੀ, ਬਹੁਤ ਛੋਟੇ ਸਮੇਂ ਵਿੱਚ ਬਹੁਤ ਸਾਰੀਆਂ ਬੇਨਤੀਆਂ, ਵਾਸਤਵਿਕ ਬ੍ਰਾਊਜ਼ਰ ਵਾਂਗ ਵਰਤਣ ਵਾਲੇ ਸਿਰਲੇਖ ਅਤੇ ਸ਼ੱਕੀ URL ਪੈਟਰਨ ਮਹੱਤਵਪੂਰਨ ਸੰਕੇਤ ਹਨ।

ਸਥਾਪਨਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਜਾਂਚ ਸੂਚੀ

ਜੀਵਨ ਦੀ ਸਰਵਰ 'ਤੇ ਸੁਰੱਖਿਆ ਫਾਇਰਵਾਲ ਨਿਯਮ ਲਿਖਦਿਆਂ ਸਭ ਤੋਂ ਵੱਡਾ ਖਤਰਾ ਹੈ, ਆਪਣੇ ਆਪ ਨੂੰ ਸਰਵਰ ਤੋਂ ਬੰਦ ਕਰਨਾ। ਇਸ ਲਈ, ਬਦਲਾਵ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਇੱਕ ਛੋਟੀ ਤਿਆਰੀ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ। ਹੇਠਾਂ ਦਿੱਤੀ ਜਾਂਚ ਸੂਚੀ, ਉਤਪਾਦਨ ਮਾਹੌਲਾਂ ਵਿੱਚ ਆਮਤੌਰ 'ਤੇ ਵਰਤੀ ਜਾਂਦੀ ਸੁਰੱਖਿਅਤ ਸ਼ੁਰੂਆਤੀ ਵਿਧੀ ਹੈ।

• ਸਰਗਰਮ SSH ਸੈਸ਼ਨ ਨੂੰ ਬੰਦ ਨਾ ਕਰੋ; ਦੂਜੇ ਟਰਮੀਨਲ ਨਾਲ ਜਾਂਚ ਕਰੋ।
• ਸਰਵਰ ਪ੍ਰਦਾਤਾ ਦੇ ਕੰਸੋਲ, VNC ਜਾਂ ਬਚਾਅ ਪਹੁੰਚ ਦੀ ਪੱਕੀ ਕਰੋ।
• ਮੌਜੂਦਾ ਖੁੱਲੇ ਪੋਰਟਾਂ ਦੀ ਸੂਚੀ ਬਣਾਓ: ss -tulpn ਜਾਂ netstat -tulpn ਦਾ ਨਿਕਾਸ ਜਾਚ ਕਰੋ।
• ਵੈਬ, ਮੇਲ, DNS, ਡੇਟਾਬੇਸ, ਪੈਨਲ ਅਤੇ ਮਾਨੀਟਰਿੰਗ ਸਰਵਿਸਾਂ ਦੁਆਰਾ ਵਰਤੇ ਜਾਂਦੇ ਪੋਰਟਾਂ ਨੂੰ ਨੋਟ ਕਰੋ।
• ਜੇਕਰ ਤੁਸੀਂ IPv6 ਵਰਤ ਰਹੇ ਹੋ, ਤਾਂ IPv6 ਸੁਰੱਖਿਆ ਫਾਇਰਵਾਲ ਨਿਯਮਾਂ ਦੀ ਯੋਜਨਾ ਬਣਾਓ।
• ਸਭ ਤੋਂ ਪਹਿਲਾਂ ਆਗਿਆ ਦੇਣ ਵਾਲੇ ਨਿਯਮ, ਫਿਰ ਰੋਕਣ ਵਾਲੇ ਨਿਯਮ ਲਾਗੂ ਕਰੋ।
• ਨਿਯਮ ਸੈੱਟ ਦੀਆਂ ਸਥਾਈ ਹੋਣ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ; ਸਰਵਰ ਦੁਬਾਰਾ ਸ਼ੁਰੂ ਹੋਣ 'ਤੇ ਖਤਮ ਨਹੀਂ ਹੋਣਾ ਚਾਹੀਦਾ।

ਉਦਾਹਰਨ ਲਈ, ਸਿਰਫ਼ ਵੈਬ ਸਾਈਟ ਹੋਸਟ ਕਰਨ ਵਾਲੇ ਸਧਾਰਣ ਸਰਵਰ 'ਤੇ ਬਾਹਰ ਖੁੱਲੇ ਹੋਣ ਵਾਲੇ ਪੋਰਟਾਂ ਦੀ ਗਿਣਤੀ ਆਮ ਤੌਰ 'ਤੇ 80, 443 ਅਤੇ ਸੀਮਤ SSH ਪੋਰਟ ਹੁੰਦੀ ਹੈ। ਜੇਕਰ ਮੇਲ ਸਰਵਰ ਚੱਲਦਾ ਨਹੀਂ ਹੈ, ਤਾਂ 25, 465, 587, 993 ਵਰਗੇ ਪੋਰਟ ਖੁੱਲੇ ਹੋਣ ਦੀ ਜਰੂਰਤ ਨਹੀਂ ਹੈ। ਜੇਕਰ ਡੇਟਾਬੇਸ ਸਿਰਫ਼ ਉਸੇ ਸਰਵਰ ਦੇ ਅੰਦਰ ਵਰਤਿਆ ਜਾ ਰਿਹਾ ਹੈ, ਤਾਂ 3306 ਜਾਂ 5432 ਪੋਰਟ ਬਾਹਰੀ ਸੰਸਾਰ ਲਈ ਬੰਦ ਰਹਿਣਾ ਚਾਹੀਦਾ ਹੈ।

ਕਿਹੜਾ ਫਾਇਰਵਾਲ ਟੂਲ ਚੁਣਨਾ ਚਾਹੀਦਾ ਹੈ?

ਲਿਨਕਸ ਦੀ ਦੁਨੀਆਂ ਵਿੱਚ ਕਈ ਟੂਲ ਹਨ ਅਤੇ ਜ਼ਿਆਦਾਤਰ ਵਿਭਿੰਨ ਵਰਤਣ ਦੀ ਸਹੂਲਤਾਂ ਨਾਲ ਇੱਕੋ ਹੀ ਕੋਰ ਫਿਲਟਰਿੰਗ ਢਾਂਚਾ ਨੂੰ ਪ੍ਰਬੰਧਿਤ ਕਰਦੇ ਹਨ। ਨਵੀਆਂ ਸ਼ੁਰੂਆਤ ਕਰਨ ਵਾਲਿਆਂ ਲਈ UFW ਸਧਾਰਨ ਅਤੇ ਤੇਜ਼ ਹੈ। ਕਾਰਪੋਰੇਟ ਜਾਂ ਰੈੱਡ ਹੈਟ ਆਧਾਰਿਤ ਸਿਸਟਮਾਂ 'ਤੇ firewalld ਆਮ ਹੈ। ਹੋਰ ਉੱਚ ਪੱਧਰ ਦੇ ਦ੍ਰਿਸ਼ਟੀਕੋਣਾਂ ਵਿੱਚ nftables ਆਧੁਨਿਕ ਅਤੇ ਲਚਕੀਲਾ ਢਾਂਚਾ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਹੇਠਾਂ ਦਿੱਤਾ ਗਿਆ ਟੇਬਲ ਚੋਣ ਕਰਨ ਵਿੱਚ ਆਸਾਨੀ ਦਿੰਦਾ ਹੈ।

ਕਦਮ ਦਰ ਕਦਮ ਸਰਵਰ ਫਾਇਰਵਾਲ ਸਥਾਪਨਾ

1. ਖੁਲੇ ਪੋਰਟਾਂ ਅਤੇ ਸਰਵਿਸਾਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰੋ

ਪਹਿਲਾ ਕਦਮ ਇਹ ਦੇਖਣਾ ਹੈ ਕਿ ਕੀ ਖੁਲਾ ਹੈ। ਲਿਨਕਸ ਸਰਵਰ 'ਤੇ ss -tulpn ਕਮਾਂਡ ਇਹ ਦਿਖਾਉਂਦੀ ਹੈ ਕਿ ਕਿਹੜੀਆਂ ਸਰਵਿਸਾਂ ਕਿਹੜੇ ਪੋਰਟਾਂ 'ਤੇ ਸੁਣ ਰਹੀਆਂ ਹਨ। ਉਦਾਹਰਨ ਲਈ, ਜੇ nginx 0.0.0.0:80 ਅਤੇ 0.0.0.0:443 'ਤੇ ਸੁਣ ਰਿਹਾ ਹੈ, ਤਾਂ ਵੈਬ ਟ੍ਰੈਫਿਕ ਸਾਰੇ ਇੰਟਰਫੇਸਾਂ ਤੋਂ ਪ੍ਰਾਪਤ ਹੋ ਰਿਹਾ ਹੈ। ਜੇ MariaDB 0.0.0.0:3306 'ਤੇ ਸੁਣ ਰਿਹਾ ਹੈ, ਤਾਂ ਇਹ ਆਮ ਤੌਰ 'ਤੇ ਖਤਰਨਾਕ ਹੁੰਦਾ ਹੈ; ਜ਼ਿਆਦਾਤਰ ਵੈਬ ਸਾਈਟਾਂ 'ਤੇ ਡੇਟਾਬੇਸ 127.0.0.1 'ਤੇ ਚੱਲਣਾ ਚਾਹੀਦਾ ਹੈ।

ਇੱਥੇ ਪ੍ਰਾਇਕਟਿਕ ਨਿਯਮ ਇਹ ਹੈ: ਇੰਟਰਨੈਟ ਤੋਂ ਪਹੁੰਚ ਕਰਨ ਦੀ ਲੋੜ ਨਹੀਂ ਹੋਣ ਵਾਲੀ ਕਿਸੇ ਵੀ ਸਰਵਿਸ ਨੂੰ 0.0.0.0 'ਤੇ ਸੁਣਨਾ ਨਹੀਂ ਚਾਹੀਦਾ। ਪਹਿਲਾਂ ਸਰਵਿਸ ਸੰਰਚਨਾ ਨੂੰ ਠੀਕ ਕਰਨਾ, ਫਿਰ ਫਾਇਰਵਾਲ ਦੇ ਨਾਲ ਬੰਦ ਕਰਨਾ ਵਧੀਆ ਹੈ। ਕਿਉਂਕਿ ਜੇ ਫਾਇਰਵਾਲ ਪੰਗੂ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਵੀ ਸਰਵਿਸ ਬਾਹਰੀ ਸੰਸਾਰ ਲਈ ਖੁੱਲੀ ਨਹੀਂ ਹੋਣੀ ਚਾਹੀਦੀ।

2. ਡਿਫਾਲਟ ਨੀਤੀ ਨੂੰ ਬੰਦ ਕਰੋ

ਸੁਰੱਖਿਅਤ ਨਿਯਮ ਸੈੱਟਾਂ ਵਿੱਚ ਡਿਫਾਲਟ ਆਉਣ ਵਾਲਾ ਟ੍ਰੈਫਿਕ ਰੱਦ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਚੱਲਦਾ ਟ੍ਰੈਫਿਕ ਲੋੜ ਦੇ ਅਨੁਸਾਰ ਛੱਡਿਆ ਜਾਂਦਾ ਹੈ। ਇਹ ਦ੍ਰਿਸ਼ਟੀਕੋਣ, ਬਾਅਦ ਵਿੱਚ ਸਥਾਪਿਤ ਕੀਤੀਆਂ ਸਰਵਿਸਾਂ ਦੇ ਅਣਜਾਣੇ ਤੌਰ 'ਤੇ ਇੰਟਰਨੈਟ 'ਤੇ ਖੁਲਣ ਤੋਂ ਰੋਕਦਾ ਹੈ। UFW ਵਰਤ ਰਹੇ ਉਬੰਟੂ ਸਰਵਰ 'ਤੇ, ਲੋਜਿਕ ਇਸ ਤਰ੍ਹਾਂ ਹੈ: ਪਹਿਲਾਂ SSH ਲਈ ਆਗਿਆ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ, ਫਿਰ 80 ਅਤੇ 443 ਖੁਲਦੇ ਹਨ, ਫਿਰ ਡਿਫਾਲਟ ਆਉਣ ਵਾਲੀ ਨੀਤੀ ਰੱਦ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਅਤੇ ਫਾਇਰਵਾਲ ਸੰਚਾਲਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਉਦਾਹਰਨ ਦਾ ਪ੍ਰਵਾਹ: ਆਪਣੇ ਪ੍ਰਬੰਧਕ IP ਪਤੇ ਲਈ SSH ਦੀ ਆਗਿਆ ਦਿਓ, HTTP ਅਤੇ HTTPS ਟ੍ਰੈਫਿਕ ਨੂੰ ਖੋਲ੍ਹੋ, ਬੇਲੋੜੇ ਪੋਰਟਾਂ ਨੂੰ ਬੰਦ ਕਰੋ, ਫਿਰ ਸੰਚਾਲਿਤ ਕਰੋ। SSH ਦੀ ਆਗਿਆ ਦਿੱਤੇ ਬਿਨਾਂ ਫਾਇਰਵਾਲ ਨੂੰ ਖੋਲ੍ਹਣਾ, ਖਾਸ ਕਰਕੇ ਦੂਰ ਦੇ ਸਰਵਰਾਂ 'ਤੇ ਸਭ ਤੋਂ ਆਮ ਗਲਤੀਆਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ।

3. SSH ਐਕਸੈਸ ਨੂੰ ਸੀਮਿਤ ਕਰੋ

SSH, ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਨਿਸ਼ਾਨਾ ਬਣਾਈ ਜਾਂਦੀ ਸਰਵਿਸਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ। ਡਿਫਾਲਟ 22 ਪੋਰਟ ਖੁਲਾ ਹੋਣ ਵਾਲਾ ਸਰਵਰ ਦਿਨ ਵਿੱਚ ਸੈਂਕੜੇ ਜਾਂ ਹਜ਼ਾਰਾਂ ਪਾਸਵਰਡ ਕੋਸ਼ਿਸ਼ਾਂ ਦੇਖ ਸਕਦਾ ਹੈ। ਸਭ ਤੋਂ ਸੁਰੱਖਿਅਤ ਦ੍ਰਿਸ਼ਟੀਕੋਣ SSH ਐਕਸੈਸ ਨੂੰ ਨਿਰਧਾਰਿਤ IP ਪਤਿਆਂ ਨਾਲ ਸੀਮਿਤ ਕਰਨਾ ਹੈ। ਜੇ ਤੁਸੀਂ ਫਿਕਸਡ IP ਵਰਤਦੇ ਹੋ, ਤਾਂ ਸਿਰਫ਼ ਦਫਤਰ ਜਾਂ VPN IP ਪਤੇ ਨੂੰ ਆਗਿਆ ਦਿਓ। ਜੇ ਫਿਕਸਡ IP ਨਹੀਂ ਹੈ, ਤਾਂ ਘੱਟੋ-ਘੱਟ ਕੀ-ਆਧਾਰਿਤ ਪ੍ਰਮਾਣੀਕਰਨ ਵਰਤੋਂ ਅਤੇ ਪਾਸਵਰਡ ਦਰਜ ਕਰਨ ਨੂੰ ਬੰਦ ਕਰੋ।

• ਰੂਟ ਦੇ ਨਾਲ ਸਿੱਧਾ SSH ਦਾਖਲਾ ਬੰਦ ਕਰੋ।
• ਪਾਸਵਰਡ ਦੀ ਥਾਂ SSH ਕੀ ਵਰਤੋਂ ਕਰੋ।
• AllowUsers ਜਾਂ AllowGroups ਨਾਲ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਸੀਮਿਤ ਕਰੋ।
• Fail2ban ਨਾਲ ਅਸਫਲ ਕੋਸ਼ਿਸ਼ਾਂ ਨੂੰ ਆਟੋਮੈਟਿਕ ਰੂਪ ਵਿੱਚ ਰੋਕੋ।
• ਜੇ ਤੁਸੀਂ ਪ੍ਰਬੰਧਨ ਪੈਨਲ ਵਰਤਦੇ ਹੋ, ਤਾਂ ਪੈਨਲ ਪੋਰਟ ਨੂੰ ਵੀ IP ਸੀਮਿਤੀ ਵਿੱਚ ਲਿਆਓ।

ਪੋਰਟ ਬਦਲਣਾ ਇਕੱਲੇ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਨਹੀਂ ਕਰਦਾ, ਪਰ ਆਟੋਮੈਟਿਕ ਬਾਟ ਸ਼ੋਰ ਨੂੰ ਘਟਾਉਣ ਵਿਚ ਸਹਾਇਕ ਹੋ ਸਕਦਾ ਹੈ। ਫਿਰ ਵੀ ਸੱਚੀ ਸੁਰੱਖਿਆ IP ਸੀਮਿਤੀ, ਮਜ਼ਬੂਤ ਪ੍ਰਮਾਣੀਕਰਨ ਅਤੇ ਲੌਗ ਨਿਗਰਾਨੀ ਨਾਲ ਪ੍ਰਾਪਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

4. ਵੈਬ ਪੋਰਟਾਂ ਨੂੰ ਨਿਯਮਿਤ ਢੰਗ ਨਾਲ ਖੋਲ੍ਹੋ

ਵੈਬ ਸਾਈਟ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨ ਵਾਲੇ ਬਹੁਤ ਸਾਰੇ ਸਰਵਰਾਂ ਲਈ 80 ਅਤੇ 443 ਪੋਰਟਾਂ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਪਰ ਅੱਜ ਕੱਲ੍ਹ 443 ਵਧੀਆ ਟ੍ਰੈਫਿਕ ਪੋਰਟ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, 80 ਸਿਰਫ਼ HTTPS ਰੀਡਾਇਰੈਕਟ ਲਈ ਵਰਤਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। SSL ਸਰਟੀਫਿਕੇਟ ਨਾ ਹੋਣ ਵਾਲੀਆਂ ਸਾਈਟਾਂ ਉਪਭੋਗਤਾ ਦੀ ਭਰੋਸੇਯੋਗਤਾ ਅਤੇ SEO ਪ੍ਰਦਰਸ਼ਨ 'ਤੇ ਨਕਾਰਾਤਕ ਪ੍ਰਭਾਵ ਪਾਉਂਦੀਆਂ ਹਨ। ਇਸ ਬਿੰਦੂ 'ਤੇ Hostragons SSL ਸਰਟੀਫਿਕੇਟ ਲਿੰਕ ਉਪਭੋਗਤਾ ਨੂੰ ਸੁਰੱਖਿਅਤ HTTPS ਸਥਾਪਨਾ ਲਈ ਪ੍ਰਾਕ੍ਰਿਤਿਕ ਅੰਦਰੂਨੀ ਲਿੰਕ ਦੇਣ ਦਾ ਮੌਕਾ ਹੈ।

ਵੈਬ ਪੋਰਟਾਂ ਨੂੰ ਖੋਲ੍ਹਣ ਵੇਲੇ ਅਸਲੀ IP ਵਿਵਹਾਰ 'ਤੇ ਧਿਆਨ ਦਿਓ। ਜੇ ਤੁਸੀਂ CDN ਜਾਂ ਰਿਵਰਸ ਪ੍ਰਾਕਸੀ ਵਰਤ ਰਹੇ ਹੋ, ਤਾਂ ਆਪਣੇ ਸਰਵਰ ਦੇ 80 ਅਤੇ 443 ਪੋਰਟਾਂ ਨੂੰ ਸਿੱਧਾ ਸਾਰੇ ਇੰਟਰਨੈੱਟ 'ਤੇ ਖੋਲ੍ਹਣ ਦੇ ਬਜਾਏ ਸਿਰਫ਼ CDN IP ਸੀਮਾ ਤੋਂ ਆ ਰਹੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਆਗਿਆ ਦੇਣਾ ਵਧੀਆ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਇਸ ਤਰ੍ਹਾਂ ਹਮਲਾਵਰ ਸੱਚੇ ਸਰਵਰ IP ਪਤੇ ਨੂੰ ਜਾਣਣ ਦੇ ਬਾਵਜੂਦ ਸਿੱਧੇ ਵੈਬ ਸਰਵਿਸ ਤੱਕ ਪਹੁੰਚ ਨਹੀਂ ਕਰ ਸਕਦਾ।

5. ਡੇਟਾਬੇਸ ਅਤੇ ਅੰਦਰੂਨੀ ਸਰਵਿਸਾਂ ਨੂੰ ਇੰਟਰਨੈਟ ਤੋਂ ਬੰਦ ਕਰੋ

MySQL, MariaDB, PostgreSQL, Redis, Elasticsearch, MongoDB ਅਤੇ ਸਮਾਨ ਸਰਵਿਸਾਂ ਦਾ ਇੰਟਰਨੈਟ 'ਤੇ ਖੁਲਾ ਹੋਣਾ ਗੰਭੀਰ ਖਤਰਾ ਪੈਦਾ ਕਰਦਾ ਹੈ। Redis ਲਈ ਪ੍ਰਮਾਣੀਕਰਨ ਦੀ ਕਮੀ, Elasticsearch ਲਈ ਅਵਿਧੀਕ ਇੰਡੈਕਸ ਪਹੁੰਚ ਜਾਂ MongoDB ਲਈ ਖੁਲੇ ਪ੍ਰਬੰਧਨ ਪੋਰਟ ਨੇ ਪਿਛਲੇ ਸਮੇਂ ਵਿੱਚ ਬਹੁਤ ਸਾਰੀਆਂ ਡੇਟਾ ਚੋਰੀਆਂ ਦਾ ਕਾਰਨ ਬਣਾਇਆ ਹੈ। ਇਹ ਸਰਵਿਸਾਂ ਜਿੱਥੇ ਸੰਭਵ ਹੋਵੇ ਸਿਰਫ਼ ਲੋਕਲਹੋਸਟ ਜਾਂ ਖਾਸ ਨੈੱਟਵਰਕ ਦੁਆਰਾ ਸੁਣਣੀ ਚਾਹੀਦੀ ਹੈ।

ਉਦਾਹਰਨ ਲਈ, ਸੇਰਵਰ 'ਤੇ ਚਲ ਰਹੀ WordPress ਸਾਈਟ ਲਈ ਡੇਟਾਬੇਸ 127.0.0.1 'ਤੇ ਚੱਲਣਾ ਕਾਫ਼ੀ ਹੁੰਦਾ ਹੈ। ਜੇਕਰ ਤੁਸੀਂ ਵੱਖਰਾ ਐਪਲੀਕੇਸ਼ਨ ਅਤੇ ਡੇਟਾਬੇਸ ਸਰਵਰ ਵਰਤ ਰਹੇ ਹੋ, ਤਾਂ ਸਿਰਫ਼ ਐਪਲੀਕੇਸ਼ਨ ਸਰਵਰ ਦੇ ਖਾਸ IP ਪਤੇ ਨੂੰ ਆਗਿਆ ਦਿਓ। ਜਨਤਕ ਇੰਟਰਨੈਟ ਤੋਂ 3306 ਜਾਂ 5432 ਦੀ ਪਹੁੰਚ ਛੱਡਣੀ ਬਾਟਾਂ ਦੁਆਰਾ ਲਗਾਤਾਰ ਖੋਜ ਕੀਤੀ ਜਾਣ ਵਾਲੀ ਜਾਣੀ ਪਹਚਾਣ ਬਲੰਕ ਹੈ।

6. Fail2ban ਨਾਲ ਬਰੂਟ ਫੋਰਸ ਕੋਸ਼ਿਸ਼ਾਂ ਨੂੰ ਰੋਕੋ

Fail2ban, ਲੌਗ ਫਾਈਲਾਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰਕੇ ਦੁਹਰਾਈ ਹੋਈ ਅਸਫਲ ਦਾਖਲ ਕੋਸ਼ਿਸ਼ਾਂ ਦਾ ਪਤਾ ਲਗਾਉਂਦਾ ਹੈ ਅਤੇ ਸੰਬੰਧਤ IP ਪਤੇ ਨੂੰ ਅਸਥਾਇਕ ਰੂਪ ਵਿੱਚ ਰੋਕਦਾ ਹੈ। SSH, nginx, Apache, Postfix, Dovecot, WordPress ਲੌਗਇਨ ਅਤੇ ਕੁਝ ਪੈਨਲ ਸਰਵਿਸਾਂ ਲਈ ਜੇਲ ਦੀ ਪਰਿਭਾਸ਼ਾ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ। ਉਦਾਹਰਨ ਲਈ, 10 ਮਿੰਟਾਂ ਵਿਚ 5 ਅਸਫਲ SSH ਕੋਸ਼ਿਸ਼ ਕਰਨ ਵਾਲੇ IP ਪਤੇ ਨੂੰ 1 ਘੰਟੇ ਲਈ ਰੋਕਣਾ ਸਧਾਰਣ ਪਰ ਪ੍ਰਭਾਵੀ ਸ਼ੁਰੂਆਤ ਹੈ।

Fail2ban ਸੰਰਚਨਾ ਵਿੱਚ ਵੱਧ ਆਗਰਹੀ ਨਿਯਮ ਵਰਤਦੇ ਸਮੇਂ ਧਿਆਨ ਰੱਖਣਾ ਚਾਹੀਦਾ ਹੈ। ਗਲਤ ਲੌਗ ਪੈਟਰਨ ਸੱਚੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਵੀ ਰੋਕ ਸਕਦਾ ਹੈ। ਇਸ ਲਈ ਪਹਿਲੇ ਪੜਾਅ 'ਤੇ bantime ਮੁੱਲ ਨੂੰ ਯਥਾਰਥ ਰੱਖਣਾ, ਲੌਗਾਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨੀ ਅਤੇ ਫਿਰ ਧੀਰੇ-ਧੀਰੇ ਕੜੀ ਕਰਨਾ ਵਧੀਆ ਹੈ।

7. ਦਰਸ਼ਨ ਸੀਮਿਤੀ ਅਤੇ ਕਨੈਕਸ਼ਨ ਸੀਮਾਵਾਂ ਸ਼ਾਮਲ ਕਰੋ

DDoS ਅਤੇ ਬਾਟ ਟ੍ਰੈਫਿਕ ਖਿਲਾਫ ਕਾਰਜਕਾਰੀ ਸਿਸਟਮ ਪੱਧਰ 'ਤੇ ਦਰਸ਼ਨ ਸੀਮਿਤੀ ਮਦਦਗਾਰ ਹੋ ਸਕਦੀ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਜੇਕਰ ਇੱਕੋ IP ਪਤੇ ਤੋਂ ਸੈਕਿੰਡ ਵਿਚ ਬਹੁਤ ਸਾਰੀਆਂ ਨਵੀਂ ਕਨੈਕਸ਼ਨ ਆ ਰਹੀਆਂ ਹਨ, ਤਾਂ ਸੀਮਾ ਲਾਗੂ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ। ਵੈਬ ਸਰਵਰ ਪਾਸੇ nginx ਲਈ limit_req ਅਤੇ limit_conn ਮੌਡੀਊਲ, Apache ਲਈ mod_evasive ਜਾਂ ਸਮਾਨ ਹੱਲ ਵਰਤੇ ਜਾ ਸਕਦੇ ਹਨ। ਐਪਲੀਕੇਸ਼ਨ ਪਾਸੇ, ਲੌਗਇਨ, ਖੋਜ, ਕਾਰਟ, ਭੁਗਤਾਨ ਅਤੇ API ਐਂਡਪੋਇੰਟਾਂ ਲਈ ਵਾਧੂ ਦਰਸ਼ਨ ਸੀਮਾ ਲਗਾਉਣਾ ਜਰੂਰੀ ਹੈ।

ਇੱਕ ਵਿਵਹਾਰਿਕ ਉਦਾਹਰਨ: ਇੱਕ ਦਾਖਲਾ ਪੰਨਾ 'ਤੇ ਇਕੱਲੇ IP ਪਤੇ ਲਈ ਪ੍ਰਤੀ ਮਿੰਟ 10 ਕੋਸ਼ਿਸ਼ਾਂ ਵਧੀਆ ਹੋ ਸਕਦੀਆਂ ਹਨ। ਇੱਕ ਖੋਜ ਐਂਡਪੋਇੰਟ 'ਤੇ ਸੈਕਿੰਡ ਵਿਚ 2-5 ਬੇਨਤੀਆਂ ਕਾਫ਼ੀ ਹੋ ਸਕਦੀਆਂ ਹਨ। ਜੇਕਰ ਤੁਸੀਂ API ਪ੍ਰਦਾਨ ਕਰਦੇ ਹੋ, ਤਾਂ ਉਪਭੋਗਤਾ ਆਧਾਰਿਤ ਟੋਕਨ ਸੀਮਾ, IP ਸੀਮਾ ਅਤੇ ਵਿਵਹਾਰ ਵਿਸ਼ਲੇਸ਼ਣ ਨੂੰ ਮਿਲਕੇ ਡਿਜ਼ਾਈਨ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਇਸ ਤਰ੍ਹਾਂ ਹਮਲਾਵਰ ਸਿਰਫ਼ IP ਬਦਲ ਕੇ ਸਾਰੇ ਸੀਮਾਵਾਂ ਨੂੰ ਪਾਰ ਨਹੀਂ ਕਰ ਸਕਦਾ।

UFW ਨਾਲ ਉਦਾਹਰਨ ਸੁਰੱਖਿਅਤ ਸਥਾਪਨਾ ਦ੍ਰਿਸ਼ਟੀਕੋਣ

ਉਬੰਟੂ ਜਾਂ ਡੇਬੀਆਨ ਆਧਾਰਿਤ ਵੈਬ ਸਰਵਰ 'ਤੇ ਇੱਕ ਸਧਾਰਨ ਸੁਰੱਖਿਅਤ ਸ਼ੁਰੂਆਤੀ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਇਸ ਤਰ੍ਹਾਂ ਸਥਾਪਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ: ਪਹਿਲਾਂ ਮੌਜੂਦਾ ਸਰਵਿਸਾਂ ਦੀ ਜਾਂਚ ਕਰੋ, ਪ੍ਰਬੰਧਕ IP ਪਤੇ ਤੋਂ SSH ਐਕਸੈਸ ਦੀ ਆਗਿਆ ਦਿਓ, 80 ਅਤੇ 443 ਪੋਰਟ ਖੋਲ੍ਹੋ, ਆਉਣ ਵਾਲੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਡਿਫਾਲਟ ਰੂਪ ਵਿੱਚ ਰੱਦ ਕਰੋ ਅਤੇ UFW ਦੀ ਸਥਿਤੀ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ। ਜੇਕਰ ਤੁਹਾਡੀ SSH ਐਕਸੈਸ ਫਿਕਸਡ IP ਨਾਲ ਸੀਮਿਤ ਨਹੀਂ ਕੀਤੀ ਜਾ ਸਕਦੀ, ਤਾਂ ਤਤਕਾਲ ਸਾਰੇ IP ਤੋਂ SSH ਦੀ ਆਗਿਆ ਦੇ ਕੇ ਫਿਰ VPN ਜਾਂ ਫਿਕਸਡ IP ਹੱਲ 'ਤੇ ਜਾ ਸਕਦੇ ਹੋ।

ਉਦਾਹਰਨ ਦਾ ਫੈਸਲਾ ਇਸ ਤਰ੍ਹਾਂ ਹੈ: 203.0.113.10 ਪ੍ਰਬੰਧਕ IP ਪਤਾ ਹੋਵੇ। SSH ਸਿਰਫ਼ ਇਸ IP ਤੋਂ ਆਉਣਾ ਚਾਹੀਦਾ ਹੈ। ਵੈਬ ਟ੍ਰੈਫਿਕ 80 ਅਤੇ 443 ਰਾਹੀਂ ਹਰੇਕ ਲਈ ਖੁਲਾ ਰਹੇ। ਡੇਟਾਬੇਸ, Redis, ਪੈਨਲ ਅਤੇ ਟੈਸਟ ਪੋਰਟਾਂ ਬਾਹਰ ਬੰਦ ਰਹਿਣ। ਇਹ ਢਾਂਚਾ ਛੋਟੇ ਅਤੇ ਮੱਧ ਪੱਧਰ ਦੇ ਬਹੁਤ ਸਾਰੇ ਕਾਰਪੋਰੇਟ ਵੈਬ ਸਾਈਟਾਂ ਲਈ ਚੰਗੀ ਸ਼ੁਰੂਆਤ ਹੈ। ਡੋਮੇਨ ਅਤੇ DNS ਪਾਸੇ ਸਹੀ ਰੀਡਾਇਰੈਕਸ਼ਨ ਕਰਨ ਲਈ Hostragons ਡੋਮੇਨ ਪੁੱਛਗਿੱਛ ਅਤੇ ਰਜਿਸਟਰ ਪੰਨੇ 'ਤੇ ਅੰਦਰੂਨੀ ਲਿੰਕ ਦਿੱਤਾ ਜਾ ਸਕਦਾ ਹੈ।

firewalld ਨਾਲ ਜ਼ੋਨ ਮੰਨਤਾ

AlmaLinux, Rocky Linux ਅਤੇ RHEL ਆਧਾਰਿਤ ਸਰਵਰਾਂ 'ਤੇ firewalld ਆਮ ਵਰਤੀ ਜਾਂਦੀ ਹੈ। firewalld ਜ਼ੋਨ ਧਾਰਨਾ ਨਾਲ ਕੰਮ ਕਰਦਾ ਹੈ। ਪਬਲਿਕ ਜ਼ੋਨ ਇੰਟਰਨੈਟ 'ਤੇ ਖੁਲੇ ਇੰਟਰਫੇਸਾਂ ਲਈ, ਟ੍ਰਸਟਡ ਜ਼ੋਨ ਭਰੋਸੇਯੋਗ ਖਾਸ ਨੈੱਟਵਰਕਾਂ ਲਈ, ਡਰਾਪ ਜ਼ੋਨ ਇੱਛਿਤ ਟ੍ਰੈਫਿਕ ਨੂੰ ਚੁਪਚਾਪ ਰੋਕਣ ਲਈ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਗੱਲ ਇਹ ਹੈ ਕਿ runtime ਅਤੇ permanent ਨਿਯਮਾਂ ਵਿਚ ਫਰਕ ਹੈ। Runtime ਨਿਯਮ ਤੁਰੰਤ ਲਾਗੂ ਹੁੰਦਾ ਹੈ ਪਰ ਦੁਬਾਰਾ ਸ਼ੁਰੂ ਕਰਨ 'ਤੇ ਖਤਮ ਹੋ ਸਕਦਾ ਹੈ; permanent ਨਿਯਮ ਸਥਾਈ ਹੁੰਦਾ ਹੈ ਪਰ ਰੀਲੋਡ ਕਰਨ ਦੀ ਲੋੜ ਹੋ ਸਕਦੀ ਹੈ।

ਕਾਰਪੋਰੇਟ ਮਾਹੌਲਾਂ ਵਿੱਚ firewalld ਵਰਤਦੇ ਸਮੇਂ ਸਰਵਿਸ ਅਧਾਰਿਤ ਪਰਿਭਾਸ਼ਾਵਾਂ ਕੰਮ ਸੌਖਾ ਕਰਦੀਆਂ ਹਨ। ਉਦਾਹਰਨ ਲਈ, HTTP ਅਤੇ HTTPS ਸਰਵਿਸਾਂ ਨੂੰ ਪਬਲਿਕ ਜ਼ੋਨ 'ਤੇ ਖੋਲ੍ਹ ਸਕਦੇ ਹੋ, SSH ਸਰਵਿਸ ਨੂੰ ਸਿਰਫ਼ ਨਿਰਧਾਰਿਤ ਸਰੋਤ IP ਪਤਿਆਂ ਤੋਂ ਪਹੁੰਚਯੋਗ ਬਣਾਉਣ ਦੇ ਯੋਗ ਬਣਾਉਂਦੇ ਹੋ। ਜੇਕਰ ਪ੍ਰਬੰਧਨ ਨੈੱਟਵਰਕ, ਬੈਕਅਪ ਨੈੱਟਵਰਕ ਅਤੇ ਉਪਭੋਗਤਾ ਟ੍ਰੈਫਿਕ ਵੱਖਰੇ ਇੰਟਰਫੇਸਾਂ 'ਤੇ ਹਨ, ਤਾਂ ਜ਼ੋਨ ਢਾਂਚਾ ਸੁਰੱਖਿਆ ਅਤੇ ਪੜ੍ਹਨਯੋਗਤਾ ਨੂੰ ਵਧਾਉਂਦਾ ਹੈ।

CDN, WAF ਅਤੇ ਪ੍ਰਦਾਤਾ ਪੱਧਰ DDoS ਸੁਰੱਖਿਆ

ਸਥਾਨਕ ਸੁਰੱਖਿਆ ਫਾਇਰਵਾਲ ਪੈਕੇਟਾਂ ਨੂੰ ਸਰਵਰ ਤੱਕ ਪਹੁੰਚਣ ਤੋਂ ਬਾਅਦ ਫੈਸਲਾ ਕਰਦਾ ਹੈ। ਵੱਡੇ DDoS ਹਮਲਿਆਂ ਵਿੱਚ, ਉਦੇਸ਼ ਟ੍ਰੈਫਿਕ ਨੂੰ ਸਰਵਰ 'ਤੇ ਆਉਣ ਤੋਂ ਪਹਿਲਾਂ ਫਿਲਟਰ ਕਰਨਾ ਹੈ। CDN, WAF ਅਤੇ ਪ੍ਰਦਾਤਾ ਪੱਧਰ 'ਤੇ DDoS ਸੁਰੱਖਿਆ ਇਸ ਲਈ ਨਾਜ਼ੁਕ ਹੈ। CDN ਸਟੈਟਿਕ ਸਮੱਗਰੀ ਨੂੰ ਕੰਨਾ ਲੋਕੇਸ਼ਨਾਂ 'ਤੇ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ, WAF ਐਪਲੀਕੇਸ਼ਨ ਪੱਧਰ 'ਤੇ ਹਾਨਿਕਾਰਕ ਬੇਨਤੀਆਂ ਨੂੰ ਫਿਲਟਰ ਕਰਦਾ ਹੈ, ਪ੍ਰਦਾਤਾ ਸੁਰੱਖਿਆ ਨੈੱਟਵਰਕ ਪੱਧਰ 'ਤੇ ਵੱਡੇ ਹਮਲਿਆਂ ਨੂੰ ਸੋak ਜਾਂ ਸਾਫ ਕਰਦਾ ਹੈ।

ਆਦਰਸ਼ ਮਾਡਲ ਵਿੱਚ ਤੁਹਾਡੇ DNS ਰਿਕਾਰਡ CDN ਰਾਹੀਂ ਗਏ ਹਨ, ਤੁਹਾਡਾ ਸੱਚਾ ਸਰਵਰ IP ਪਤਾ ਲੁਕਾਇਆ ਗਿਆ ਹੈ, ਤੁਹਾਡਾ ਸਰਵਰ ਸੁਰੱਖਿਆ ਫਾਇਰਵਾਲ ਸਿਰਫ਼ CDN IP ਸੀਮਾਵਾਂ ਤੋਂ 80 ਅਤੇ 443 ਨੂੰ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਪ੍ਰਬੰਧਨ ਪੋਰਟਾਂ ਨੂੰ VPN ਜਾਂ ਫਿਕਸਡ IP ਰਾਹੀਂ ਪਹੁੰਚਯੋਗ ਬਣਾਇਆ ਜਾ ਸਕਦਾ ਹੈ। ਇਸ ਤਰ੍ਹਾਂ ਦਾ ਮਾਡਲ, ਸਿੱਧੇ IP 'ਤੇ ਹਮਲੇ ਦੀ ਸੰਭਾਵਨਾ ਨੂੰ ਘਟਾਉਂਦਾ ਹੈ ਅਤੇ ਬਾਟ ਟ੍ਰੈਫਿਕ ਨੂੰ ਐਪਲੀਕੇਸ਼ਨ ਤੱਕ ਪੁੱਛਣ ਤੋਂ ਪਹਿਲਾਂ ਰੋਕਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਵੈਬ ਸੁਰੱਖਿਆ ਅਤੇ ਕਾਰਗਰਤਾ ਦੇ ਮਾਮਲਿਆਂ ਨੂੰ ਇਕੱਠੇ ਨਿੱਘ ਰੱਖਣ ਵਾਲੇ ਸਮੱਗਰੀ ਲਈ ਵੈਬ ਸਾਈਟ ਤੇਜ਼ ਕਰਨ ਅਤੇ ਸੁਰੱਖਿਆ ਗਾਈਡਾਂ ਲਿੰਕ ਵਰਤੀ ਜਾ ਸਕਦੀ ਹੈ।

ਬਾਟਾਂ ਖਿਲਾਫ ਐਪਲੀਕੇਸ਼ਨ ਪੱਧਰ ਦੇ ਉਪਾਅ

ਬਾਟ ਰੋਕਣਾ ਸਿਰਫ਼ IP ਬੈਨ ਸੂਚੀ ਦੇ ਬਾਰੇ ਨਹੀਂ ਹੈ। ਆਧੁਨਿਕ ਬਾਟ ਪ੍ਰਾਕਸੀ, ਮੋਬਾਈਲ ਨੈੱਟਵਰਕ, ਡੇਟਾ ਸੈਂਟਰ IP ਅਤੇ ਬਦਲਦੇ ਯੂਜ਼ਰ ਏਜੰਟਾਂ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹਨ। ਇਸ ਲਈ ਵਿਵਹਾਰ ਕੰਦਾਰ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਦੀ ਲੋੜ ਹੈ। ਇਕੋ IP ਤੋਂ ਛੋਟੇ ਸਮੇਂ ਵਿੱਚ ਬਹੁਤ ਸਾਰੀਆਂ ਲੌਗਇਨ ਕੋਸ਼ਿਸ਼ਾਂ, ਲਗਾਤਾਰ 404 ਜਨਰੇਟਿੰਗ ਸਕੈਨਿੰਗ, wp-login.php ਜਾਂ xmlrpc.php ਦੀ ਭਾਰੀ ਪਰਿਵਾਰਤਨ, ਸਧਾਰਨ ਉਪਭੋਗਤਾਵਾਂ ਤੋਂ ਵੱਖਰਾ ਕਲਿੱਕ ਪੈਟਰਨ ਅਤੇ ਸ਼ੱਕੀ ਸਿਰਲੇਖਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।

• ਲੌਗਇਨ ਅਤੇ ਰਿਕਾਰਡ ਫਾਰਮਾਂ ਵਿੱਚ ਦਰਸ਼ਨ ਸੀਮਿਤੀ ਵਰਤੋਂ।
• ਬੇਲੋੜੇ XML-RPC ਪਹੁੰਚ ਨੂੰ ਬੰਦ ਕਰੋ ਜਾਂ ਸੀਮਿਤ ਕਰੋ।
• ਪ੍ਰਬੰਧਨ ਪੈਨਲ ਨੂੰ ਵੱਖਰੀ URL, IP ਸੀਮਿਤੀ ਅਤੇ ਬਹੁਤ ਫੈਕਟਰ ਚੇਕਿੰਗ ਨਾਲ ਸੁਰੱਖਿਅਤ ਕਰੋ।
• ਸ਼ੱਕੀ ਯੂਜ਼ਰ-ਏਜੰਟ ਅਤੇ ਰਿਫਰਰ ਪੈਟਰਨ ਨੂੰ WAF ਪੱਧਰ 'ਤੇ ਫਿਲਟਰ ਕਰੋ।
• ਫਾਰਮਾਂ ਵਿੱਚ CAPTCHA ਜਾਂ ਅਦ੍ਰਿਸ਼ ਬਾਟ ਪ੍ਰਮਾਣੀਕਰਨ ਮਕੈਨਜ਼ਮਾਂ ਨੂੰ ਸੰਤੁਲਿਤ ਵਰਤੋਂ ਕਰੋ।
• API ਐਂਡਪੋਇੰਟਾਂ ਲਈ ਕੁੰਜੀ, ਦਸਤਖਤ, ਕੋਟਾ ਅਤੇ ਟਾਈਮ ਸਟੈਂਪ ਚੈੱਕਾਂ ਸ਼ਾਮਲ ਕਰੋ।

ਬਾਟ ਪ੍ਰਬੰਧਨ ਵਿੱਚ ਉਪਭੋਗਤਾ ਦੇ ਅਨੁਭਵ ਨੂੰ ਖਰਾਬ ਨਾ ਕਰਨ ਦੀ ਮਹੱਤਤਾ ਹੈ। ਵੱਧ CAPTCHA, ਆਗਰਹੀ ਰੋਕਨਾ ਜਾਂ ਗਲਤ ਦੇਸ਼ ਬਲੌਕਿੰਗ ਤੁਹਾਡੇ ਵਾਸਤਵਿਕ ਗਾਹਕਾਂ ਨੂੰ ਨੁਕਸਾਨ ਪਹੁੰਚਾ ਸਕਦੀ ਹੈ। ਇਸ ਲਈ ਮਾਪ, ਟੈਸਟ ਅਤੇ ਧੀਰੇ-ਧੀਰੇ ਕੜੀ ਕਰਨ ਦੀ ਪੇਸ਼ਕਸ਼ ਸਭ ਤੋਂ ਸਿਹਤਮੰਦ ਤਰੀਕਾ ਹੈ।

ਲੌਗ ਨਿਗਰਾਨੀ ਅਤੇ ਐਲਾਰਮ ਨਿਯਮ

ਸਥਾਪਨਾ ਖਤਮ ਹੋਣ ਦੇ ਫੈਸਲੇ ਨੂੰ ਲੈਣਾ ਇੱਕ ਆਮ ਗਲਤੀ ਹੈ। ਸੁਰੱਖਿਆ ਫਾਇਰਵਾਲ ਇੱਕ ਜੀਵੰਤ ਪ੍ਰਣਾਲੀ ਹੈ ਅਤੇ ਨਿਯਮਤ ਨਿਗਰਾਨੀ ਕੀਤੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ। auth.log ਜਾਂ secure ਫਾਈਲ 'ਤੇ SSH ਕੋਸ਼ਿਸ਼ਾਂ, nginx ਐਕਸੈਸ ਲੌਗਾਂ 'ਤੇ ਅਸਧਾਰਣ ਬੇਨਤੀਆਂ ਦੀ ਗਿਣਤੀ, ਐਰਰ ਲੌਗਾਂ 'ਤੇ 404 ਅਤੇ 500 ਦੀ ਵਾਧਾ, ਸਿਸਟਮ ਮੈਟਰਿਕਸ 'ਤੇ CPU ਅਤੇ ਕਨੈਕਸ਼ਨ ਦੀ ਗਿਣਤੀ ਦੀ ਨਿਗਰਾਨੀ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ। ਇੱਕ ਸਧਾਰਨ ਐਲਾਰਮ ਵੀ ਹਮਲਾ ਸ਼ੁਰੂ ਹੋਣ 'ਤੇ ਮਿੰਟਾਂ ਦੀ ਬਚਤ ਕਰਦਾ ਹੈ।

ਉਦਾਹਰਨ ਦੇ ਤੌਰ 'ਤੇ ਸ਼ੁਰੂਆਤ ਲਈ ਥRESHOLD ਮੁੱਲ ਇਸ ਤਰ੍ਹਾਂ ਹੋ ਸਕਦੇ ਹਨ: 5 ਮਿੰਟਾਂ ਵਿੱਚ ਇਕੋ IP ਤੋਂ 100 ਤੋਂ ਵੱਧ 404 ਬੇਨਤੀਆਂ, 1 ਮਿੰਟ ਵਿੱਚ ਲੌਗਇਨ ਪੰਨੇ 'ਤੇ 20 ਤੋਂ ਵੱਧ ਕੋਸ਼ਿਸ਼ਾਂ, CPU ਦੀ ਵਰਤੋਂ 10 ਮਿੰਟਾਂ ਲਈ 90% ਤੋਂ ਵੱਧ ਰਹਿਣਾ, ਕਨੈਕਸ਼ਨ ਦੀ ਗਿਣਤੀ ਦੇ ਆਮ ਤੋਂ 3 ਗੁਣਾ ਵੱਧ ਜਾਣਾ। ਇਹ ਥRESHOLD ਹਰ ਸਾਈਟ ਲਈ ਵੱਖਰੇ ਹੁੰਦੇ ਹਨ; ਮਹੱਤਵਪੂਰਨ ਗੱਲ ਇਹ ਹੈ ਕਿ ਤੁਹਾਡੇ ਆਮ ਟ੍ਰੈਫਿਕ ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਜਾਣਨਾ ਹੈ।

ਆਮ ਗਲਤੀਆਂ ਅਤੇ ਬਚਣ ਦੇ ਤਰੀਕੇ

• SSH ਆਗਿਆ ਦਿੱਤੇ ਬਿਨਾਂ ਫਾਇਰਵਾਲ ਨੂੰ ਸੰਚਾਲਿਤ ਕਰਨਾ: ਦੂਰ ਦੇ ਸਰਵਰ 'ਤੇ ਪਹੁੰਚ ਨੂੰ ਖੋਹਣਾ। ਹਮੇਸ਼ਾ ਦੂਜੇ ਸੈਸ਼ਨ ਨਾਲ ਜਾਂਚ ਕਰੋ।
• IPv6 ਨੂੰ ਭੁੱਲ ਜਾਣਾ: IPv4 ਪਾਸੇ ਬੰਦ ਹੋਣ ਵੇਲੇ IPv6 ਦੁਆਰਾ ਸਰਵਿਸ ਖੁਲੀ ਰਹਿ ਸਕਦੀ ਹੈ।
• ਡੇਟਾਬੇਸ ਨੂੰ ਇੰਟਰਨੈਟ 'ਤੇ ਖੁਲਾ ਛੱਡਣਾ: 3306, 5432, 6379 ਅਤੇ 9200 ਵਰਗੇ ਪੋਰਟਾਂ ਨੂੰ ਬਾਟਾਂ ਦੁਆਰਾ ਲਗਾਤਾਰ ਖੋਜਿਆ ਜਾਂਦਾ ਹੈ।
• CDN ਵਰਤ ਕੇ ਸੱਚਾ IP ਖੁਲਾ ਛੱਡਣਾ: ਹਮਲਾਵਰ CDN ਨੂੰ ਅਟਕਾ ਕੇ ਸਿੱਧੇ ਸਰਵਰ 'ਤੇ ਹਮਲਾ ਕਰ ਸਕਦਾ ਹੈ।
• ਨਿਯਮਾਂ ਨੂੰ ਡੋਕਯੂਮੈਂਟ ਕੀਤੇ ਬਿਨਾਂ ਬਦਲਣਾ: ਐਮਰਜੈਂਸੀ ਸਥਿਤੀ ਵਿੱਚ ਕਿਸੇ ਵੀ ਨਿਯਮ ਦਾ ਕੀ ਕੰਮ ਹੈ, ਸਮਝਣਾ ਮੁਸ਼ਕਲ ਹੋ ਜਾਂਦਾ ਹੈ।
• ਬੈਕਅਪ ਐਕਸੈਸ ਯੋਜਨਾ ਬਣਾਉਣਾ: