مقدمه

FTP یکی از قدیمی‌ترین پروتکل‌های انتقال فایل است و هنوز هم در بسیاری از سرورهای هاستینگ، وب‌سایت‌ها و سرویس‌های اشتراک فایل استفاده می‌شود. با این حال، FTP به‌صورت پیش‌فرض اطلاعات، از جمله نام کاربری و رمز عبور، را به‌صورت رمزنگاری‌نشده منتقل می‌کند و در صورت پیکربندی نادرست، می‌تواند به یکی از نقاط ضعف امنیتی سرور تبدیل شود.

به همین دلیل، پس از نصب سرویس‌هایی مانند vsftpd یا ProFTPD، باید تنظیمات امنیتی لازم برای کاهش سطح حمله اعمال شوند.

در این مقاله مهم‌ترین اقدامات برای Hardening سرویس FTP را بررسی می‌کنیم.

بررسی نسخه FTP Server

اگر از vsftpd استفاده می‌کنید:

vsftpd -version

بررسی وضعیت سرویس:

sudo systemctl status vsftpd

بروزرسانی سرویس

Ubuntu / Debian:

sudo apt update

sudo apt upgrade vsftpd

AlmaLinux / Rocky Linux:

sudo dnf update vsftpd

پیدا کردن فایل تنظیمات

در بیشتر توزیع‌ها:

/etc/vsftpd.conf

غیرفعال کردن ورود Anonymous

در فایل تنظیمات:

anonymous_enable=NO

این گزینه یکی از مهم‌ترین تنظیمات امنیتی FTP است.

محدود کردن کاربران محلی

در صورت نیاز:

local_enable=YES

جلوگیری از Upload کاربران ناشناس

anon_upload_enable=NO

محدود کردن دسترسی کاربران به Home Directory

فعال کردن Chroot:

chroot_local_user=YES

در صورت نیاز:

allow_writeable_chroot=YES

این تنظیم باعث می‌شود کاربران فقط به پوشه خانگی خود دسترسی داشته باشند.

استفاده از FTPS

به‌جای FTP ساده، از FTP over TLS (FTPS) استفاده کنید.

فعال کردن SSL:

ssl_enable=YES

استفاده از گواهی SSL:

rsa_cert_file=/path/fullchain.pem
rsa_private_key_file=/path/privkey.pem

اجبار استفاده از SSL

force_local_logins_ssl=YES

force_local_data_ssl=YES

در این حالت، ورود و انتقال فایل فقط از طریق ارتباط رمزنگاری‌شده انجام می‌شود(خطر حمله MIDM کاهش میابد).

غیرفعال کردن SSLهای قدیمی

ssl_tlsv1=NO
ssl_tlsv1_1=NO
ssl_tlsv1_2=YES

در صورت پشتیبانی نسخه، استفاده از TLS 1.3 نیز توصیه می‌شود.

محدود کردن تعداد اتصال

برای جلوگیری از سوءاستفاده:

max_clients=20

max_per_ip=5

محدود کردن کاربران مجاز

ایجاد فایل:

/etc/vsftpd.userlist

سپس:

userlist_enable=YES

userlist_file=/etc/vsftpd.userlist

userlist_deny=NO

فقط کاربران موجود در این فایل اجازه ورود خواهند داشت.

محدود کردن دسترسی با Firewall

در صورت استفاده از FTPS فقط پورت‌های موردنیاز را باز کنید.

نمونه با UFW:

sudo ufw allow 21/tcp

در صورت استفاده از Passive Mode، محدوده پورت‌های Passive را نیز فقط به اندازه نیاز باز کنید.

تنظیم Passive Mode

نمونه:

pasv_enable=YES

pasv_min_port=50000

pasv_max_port=50100

بررسی لاگ‌ها

مسیرهای متداول:

/var/log/vsftpd.log

یا:

/var/log/xferlog

مشاهده لاگ:

sudo tail -f /var/log/vsftpd.log

بررسی وضعیت سرویس

sudo systemctl status vsftpd

تست پورت‌ها

بررسی پورت 21:

ss -tulpn | grep :21

تست اتصال

با استفاده از یک FTP Client مانند FileZilla بررسی کنید:

• ارتباط رمزنگاری شده (TLS)
• امکان Upload و Download
• محدود بودن دسترسی کاربر به Home Directory

بهترین روش‌ها

• همیشه از FTPS استفاده کنید.
• ورود Anonymous را غیرفعال کنید.
• کاربران را در Home Directory محدود کنید.
• فقط کاربران مجاز را اجازه ورود دهید.
• تعداد اتصال‌ها را محدود کنید.
• سرویس FTP را به‌صورت منظم بروزرسانی کنید.
• لاگ‌ها را بررسی کنید.
• در صورت امکان، به‌جای FTP از SFTP استفاده کنید.

اشتباهات رایج

• فعال بودن Anonymous Login
• استفاده از FTP بدون رمزنگاری
• باز بودن محدوده بزرگی از پورت‌های Passive
• عدم استفاده از Chroot
• عدم بررسی لاگ‌ها
• استفاده از رمزهای عبور ضعیف
• باز بودن دسترسی FTP روی اینترنت بدون محدودیت

چک‌لیست

پس از Hardening، موارد زیر را بررسی کنید:

• سرویس FTP بروزرسانی شده است.
• Anonymous Login غیرفعال است.
• FTPS فعال شده است.
• TLSهای قدیمی غیرفعال شده‌اند.
• کاربران فقط به Home Directory خود دسترسی دارند.
• فقط کاربران مجاز امکان ورود دارند.
• تعداد اتصال‌ها محدود شده است.
• لاگ‌ها بررسی می‌شوند.
• فقط پورت‌های موردنیاز باز هستند.

جمع‌بندی

Hardening سرویس FTP نقش مهمی در محافظت از فایل‌های کاربران و جلوگیری از دسترسی غیرمجاز دارد. با غیرفعال کردن ورود Anonymous، استفاده از FTPS، محدود کردن کاربران به پوشه خانگی، کنترل تعداد اتصال‌ها، محدود کردن کاربران مجاز و بررسی منظم لاگ‌ها، می‌توان امنیت این سرویس را به میزان قابل توجهی افزایش داد.

با این حال، اگر امکان استفاده از SFTP (SSH File Transfer Protocol) وجود دارد، معمولاً انتخاب مناسب‌تری نسبت به FTP است، زیرا از ابتدا بر پایه ارتباط رمزنگاری‌شده SSH طراحی شده و نیاز به پیکربندی‌های امنیتی کمتری دارد.

کیان پور