أمان شبكة Zero Trust: دليل الإعداد الأساسي

# إنشاء SSH CA
mkdir -p /etc/ssh/ca
cd /etc/ssh/ca

# إنشاء زوج مفاتيح CA
ssh-keygen -t ed25519 -f ssh_ca -C "SSH Certificate Authority"

# توقيع مفتاح المستخدم
ssh-keygen -s /etc/ssh/ca/ssh_ca \
  -I "مستخدم@مضيف" \
  -n اسم_المستخدم \
  -V +52w \
  ~/.ssh/id_ed25519.pub

# إعداد SSH لـ Zero Trust
PasswordAuthentication no
ChallengeResponseAuthentication no
TrustedUserCAKeys /etc/ssh/ca/ssh_ca.pub
PermitRootLogin no
AllowUsers deploy admin
ClientAliveInterval 300
ClientAliveCountMax 2

# السياسات الافتراضية
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT

# السماح بـ loopback
sudo iptables -A INPUT -i lo -j ACCEPT

# السماح بالاتصالات المنشأة
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# وصول SSH (شبكة الإدارة فقط)
sudo iptables -A INPUT -p tcp --dport 22 -s 10.0.1.0/24 -j ACCEPT

# خادم الويب (عام)
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# قاعدة البيانات (خادم الويب فقط)
sudo iptables -A INPUT -p tcp --dport 3306 -s 10.0.2.10 -j ACCEPT

# تسجيل ورفض كل شيء آخر
sudo iptables -A INPUT -j LOG --log-prefix "DROPPED: "
sudo iptables -A INPUT -j DROP

# المصادقة متعددة العوامل مع PAM
sudo apt install libpam-google-authenticator -y
google-authenticator

# /etc/pam.d/sshd
auth required pam_google_authenticator.so

# إعداد SSH
ChallengeResponseAuthentication yes
AuthenticationMethods publickey,keyboard-interactive

# تثبيت auditd
sudo apt install auditd -y

# مراقبة الملفات الحيوية
sudo auditctl -w /etc/passwd -p wa -k passwd_changes
sudo auditctl -w /etc/shadow -p wa -k shadow_changes
sudo auditctl -w /etc/sudoers -p wa -k sudoers_changes

# مراقبة اتصالات الشبكة
sudo auditctl -a always,exit -F arch=b64 -S connect -k network_connect

# عرض سجلات التدقيق
sudo ausearch -k passwd_changes
sudo aureport --auth

# /etc/systemd/system/myapp.service
[Service]
User=myapp
Group=myapp
NoNewPrivileges=true
PrivateTmp=true
ProtectSystem=strict
ProtectHome=true
ReadWritePaths=/var/lib/myapp
CapabilityBoundingSet=

docker network create --driver bridge --subnet 172.20.0.0/24 frontend-net
docker network create --driver bridge --subnet 172.21.0.0/24 backend-net
docker network create --driver bridge --subnet 172.22.0.0/24 db-net