# نمایش مجوزهای عددی
stat -c '%a %n' /etc/passwd      # 644
stat -c '%a %n' /etc/shadow      # 640
stat -c '%a %n' /usr/bin/sudo    # 4755  (SUID)
 
# تغییر مالک و مجوزها
sudo chown www-data:www-data /var/www/html/index.html
sudo chmod 640 /var/www/html/config.php
 
# مجوزهای نمادین
chmod u+x script.sh        # اجرا برای مالک
chmod g-w config.yml       # حذف نوشتن برای گروه
chmod o-r secret.key       # حذف خواندن برای دیگران

# دادن دسترسی خواندن به کاربر alice بدون تغییر مجوز اصلی
sudo setfacl -m u:alice:r /var/www/html/config.php
getfacl /var/www/html/config.php

# فقط کاربر devops می‌تواند systemctl restart nginx را اجرا کند
devops ALL=(root) NOPASSWD: /usr/bin/systemctl restart nginx
 
# گروه admin تمام دستورات را می‌تواند اجرا کند اما با رمز
%admin ALL=(ALL) ALL
 
# کاربر deploy فقط به‌عنوان کاربر www-data می‌تواند دستور بزند
deploy ALL=(www-data) NOPASSWD: /usr/bin/php /var/www/html/artisan

# پشتیبان‌گیری از پیکربندی اصلی
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
 
# ویرایش پیکربندی
sudo nano /etc/ssh/sshd_config

Port 2222                           # تغییر پورت پیش‌فرض 22
PermitRootLogin no                  # ورود مستقیم root ممنوع
PasswordAuthentication no           # فقط کلید عمومی
PubkeyAuthentication yes
PermitEmptyPasswords no
MaxAuthTries 3
LoginGraceTime 30
AllowUsers devops deploy            # اجازه فقط به کاربران مشخص
X11Forwarding no
ClientAliveInterval 300
ClientAliveCountMax 0               # قطع اتصال بی‌استفاده
Protocol 2

# اعتبارسنجی و راه‌اندازی مجدد
sudo sshd -t                        # تست دستوری پیکربندی
sudo systemctl restart sshd

sudo apt install fail2ban
sudo systemctl enable fail2ban
sudo systemctl start fail2ban
 
# بررسی وضعیت
sudo fail2ban-client status sshd

# وضعیت SELinux
sestatus
getenforce                            # Enforcing، Permissive یا Disabled
 
# تغییر موقت به حالت Permissive (برای عیب‌یابی)
sudo setenforce 0
 
# برچسب‌های امنیتی یک فایل
ls -Z /var/www/html/index.html
 
# وضعیت AppArmor
sudo apparmor_status
sudo aa-status

# غیرفعال‌کردن ارسال بسته‌های IP منبع جعلی
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
 
# فعال‌سازی حفاظت در برابر Smurf
net.ipv4.icmp_echo_ignore_broadcasts = 1
 
# غیرفعال‌کردن ارسال ICMP Redirect
net.ipv4.conf.all.accept_redirects = 0
 
# ثبت بسته‌های Marsian (آدرس‌های غیرممکن)
net.ipv4.conf.all.log_martians = 1
 
# فعال‌سازی TCP SYN Cookies (ضد SYN Flood)
net.ipv4.tcp_syncookies = 1

sudo sysctl -p    # اعمال تغییرات

sudo apt install auditd
sudo systemctl enable --now auditd
 
# ثبت دسترسی به فایل حساس
sudo auditctl -w /etc/passwd -p wa -k identity_changes
 
# گزارش همهٔ رویدادها با کلید identity_changes
sudo ausearch -k identity_changes
 
# گزارش همهٔ دستورهای sudo
sudo ausearch -m USER_CMD -x sudo

sudo apt install lynis
sudo lynis audit system

  - Hardening index : [61] (      ) [######          ]
  - Hardening level : [61] (      ) [######          ]
 
  Possible hardening topics:
  - Configure password hashing to SHA-512 (CRYPT_DEFAULT)
  - Set password minimum length to at least 10 (PASS_MIN_LEN)
  - Disable USB storage if not needed (modprobe)
  - Add a banner to /etc/issue (legal)
  - Disable kernel modules: dccp, sctp, rds, tipc

sudo lynis audit system --pentest | tee lynis-report.txt
sudo lynis show details TEST-ID