Chuyển tới nội dung chính

Security Checklist Trước Khi Đưa Server Vào Production

Giới Thiệu​

Việc đưa một server vào môi trường production mà không có các biện pháp bảo mật phù hợp giống như việc mở cửa ngôi nhà của bạn mà không khóa. Môi trường production là nơi server của bạn tiếp xúc trực tiếp với internet và người dùng, trở thành mục tiêu tiềm năng cho các cuực tấn công mạng. Một checklist bảo mật kỹ lưỡng không chỉ giúp ngăn chặn các lỗ hổng mà còn đảm bảo tính ổn định và tin cậy của hệ thống. Bài viết này sẽ cung cấp một danh sách các bước quan trọng cần thực hiện để "hardening" (tăng cường bảo mật) server của bạn trước khi đưa nó vào hoạt động chính thức.

📋 Thời gian: 60-90 phút | Độ khó: Trung bình

Yêu Cầu​

Để thực hiện theo hướng dẫn này, bạn cần có:

  • Quyền truy cập root hoặc sudo trên server Linux (Ubuntu, CentOS, Debian, v.v.).
  • Kiến thức cơ bản về dòng lệnh Linux và quản lý hệ thống.
  • Hiểu biết về khái niệm mạng cơ bản (IP, port, firewall).
  • Kết nối SSH đến server của bạn.

Các Bước Thực Hiện​

Bước 1: Cập Nhật Hệ Điều Hành và Phần Mềm​

Luôn bắt đầu bằng việc đảm bảo hệ điều hành và tất cả các gói phần mềm đã được cập nhật lên phiên bản mới nhất. Các bản cập nhật thường bao gồm các bản vá lỗi bảo mật quan trọng.

# Đối với Debian/Ubuntu
sudo apt update          # Cập nhật danh sách gói
sudo apt upgrade -y      # Nâng cấp các gói đã cài đặt
sudo apt dist-upgrade -y # Nâng cấp phân phối (nếu cần)
sudo apt autoremove -y   # Xóa các gói không còn cần thiết

# Đối với CentOS/RHEL
sudo dnf update -y       # Cập nhật các gói đã cài đặt
sudo dnf autoremove -y   # Xóa các gói không còn cần thiết

💡 Tip: Cấu hình cập nhật tự động hoặc lên lịch kiểm tra và áp dụng các bản vá bảo mật định kỳ ngay cả sau khi server đã hoạt động.

Bước 2: Cấu Hình Tường Lửa (Firewall)​

Tường lửa là tuyến phòng thủ đầu tiên, kiểm soát lưu lượng mạng ra vào server của bạn. Chỉ cho phép các cổng và dịch vụ cần thiết được mở.

# Ví dụ với UFW (Uncomplicated Firewall) trên Ubuntu
sudo apt install ufw -y              # Cài đặt UFW nếu chưa có
sudo ufw default deny incoming       # Từ chối tất cả các kết nối đến mặc định
sudo ufw default allow outgoing      # Cho phép tất cả các kết nối đi mặc định
sudo ufw allow ssh                   # Cho phép SSH (cổng 22)
sudo ufw allow http                  # Cho phép HTTP (cổng 80)
sudo ufw allow https                 # Cho phép HTTPS (cổng 443)
# Nếu bạn thay đổi cổng SSH, hãy thay thế 'ssh' bằng số cổng mới: sudo ufw allow 2222/tcp
sudo ufw enable                      # Bật tường lửa
sudo ufw status verbose              # Kiểm tra trạng thái tường lửa

# Ví dụ với firewalld trên CentOS/RHEL
sudo systemctl enable --now firewalld # Bật và khởi động firewalld
sudo firewall-cmd --permanent --add-service=ssh # Cho phép SSH
sudo firewall-cmd --permanent --add-service=http # Cho phép HTTP
sudo firewall-cmd --permanent --add-service=https # Cho phép HTTPS
# Nếu bạn thay đổi cổng SSH: sudo firewall-cmd --permanent --add-port=2222/tcp
sudo firewall-cmd --reload           # Áp dụng các thay đổi
sudo firewall-cmd --list-all         # Kiểm tra trạng thái

⚠️ Warning: Đảm bảo bạn đã cho phép cổng SSH trước khi bật tường lửa, nếu không bạn có thể bị khóa khỏi server của mình.

Bước 3: Bảo Mật SSH​

SSH là giao thức chính để quản lý server từ xa, do đó việc bảo mật nó là cực kỳ quan trọng.

  • Vô hiệu hóa đăng nhập root trực tiếp: Đăng nhập root dễ bị tấn công brute-force.
  • Sử dụng xác thực bằng khóa SSH: An toàn hơn nhiều so với mật khẩu.
  • Thay đổi cổng SSH mặc định (tùy chọn nhưng được khuyến nghị): Giúp giảm thiểu các cuộc tấn công quét cổng tự động.
  • Vô hiệu hóa xác thực bằng mật khẩu (sau khi đã cấu hình xác thực bằng khóa): Tăng cường bảo mật.

Chỉnh sửa file cấu hình SSH /etc/ssh/sshd_config:

sudo nano /etc/ssh/sshd_config

Tìm và sửa đổi các dòng sau:

PermitRootLogin no
PasswordAuthentication no
Port 2222 # Thay 2222 bằng một cổng khác không chuẩn (ví dụ: 1024-65535)

Sau khi lưu, khởi động lại dịch vụ SSH:

# Đối với Debian/Ubuntu
sudo systemctl restart sshd

# Đối với CentOS/RHEL
sudo systemctl restart sshd

✅ Success: Bây giờ bạn sẽ cần đăng nhập bằng khóa SSH và cổng mới (nếu đã thay đổi) với một người dùng không phải root.

Bước 4: Quản Lý Người Dùng và Quyền Hạn​

Tạo một người dùng riêng biệt cho công việc quản trị hàng ngày và chỉ sử dụng sudo khi cần quyền root.

sudo adduser ten_nguoi_dung_moi       # Tạo người dùng mới
sudo usermod -aG sudo ten_nguoi_dung_moi # Thêm người dùng vào nhóm sudo (trên Debian/Ubuntu)
# Đối với CentOS/RHEL, thêm vào nhóm wheel:
# sudo usermod -aG wheel ten_nguoi_dung_moi

Xóa các tài khoản người dùng không cần thiết hoặc mặc định không được sử dụng.

Bước 5: Cài Đặt và Cấu Hình Công Cụ Giám Sát và Phát Hiện Xâm Nhập​

Các công cụ này giúp bạn theo dõi hoạt động của server và phát hiện sớm các dấu hiệu tấn công.

  • Fail2Ban: Tự động chặn địa chỉ IP thực hiện các cuộc tấn công brute-force.
# Đối với Debian/Ubuntu
sudo apt install fail2ban -y

# Đối với CentOS/RHEL
sudo dnf install epel-release -y # Cần EPEL repo
sudo dnf install fail2ban -y
sudo systemctl enable --now fail2ban

Tạo một file cấu hình tùy chỉnh để tránh bị ghi đè khi cập nhật:

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local

Trong jail.local, bạn có thể điều chỉnh các cài đặt như bantime (thời gian chặn), findtime (thời gian tìm kiếm), và maxretry (số lần thử tối đa). Đảm bảo enabled = true cho [sshd] và các dịch vụ khác mà bạn muốn bảo vệ.

[DEFAULT]
bantime = 1h
findtime = 10m
maxretry = 5

[sshd]
enabled = true
port = ssh,sftp # Nếu thay đổi cổng SSH, hãy cập nhật ở đây

Sau khi chỉnh sửa, khởi động lại Fail2Ban:

sudo systemctl restart fail2ban
  • Logwatch (hoặc rsyslog): Giúp tổng hợp và gửi báo cáo về các sự kiện hệ thống quan trọng.
  • Giám sát nhật ký (logs): Thường xuyên kiểm tra các file nhật ký trong /var/log để tìm dấu hiệu bất thường.

Bước 6: Bảo Mật Dữ Liệu và Sao Lưu (Backup)​

Bảo mật dữ liệu là cốt lõi. Hãy đảm bảo dữ liệu của bạn được bảo vệ cả khi nghỉ và khi di chuyển.

  • Mã hóa ổ đĩa (Disk Encryption): Cân nhắc mã hóa toàn bộ ổ đĩa hoặc các phân vùng chứa dữ liệu nhạy cảm bằng LUKS để bảo vệ dữ liệu khỏi truy cập trái phép nếu server bị đánh cắp vật lý.
  • Sao lưu định kỳ: Thiết lập một kế hoạch sao lưu mạnh mẽ. Dữ liệu sao lưu cần được lưu trữ ở một vị trí khác (off-site hoặc trên cloud) và được mã hóa.
# Ví dụ lệnh sao lưu đơn giản với rsync
# Sao lưu thư mục /var/www/html vào một ổ đĩa gắn ngoài hoặc một server khác
sudo rsync -avz --delete /var/www/html/ user@backup-server:/path/to/backup/

💡 Tip: Thường xuyên kiểm tra tính toàn vẹn của các bản sao lưu để đảm bảo chúng có thể được khôi phục thành công.

Bước 7: Cấu Hình Bảo Mật Web Server (Nginx/Apache)​

Nếu server của bạn chạy một web server, hãy áp dụng các biện pháp bảo mật sau:

  • Sử dụng HTTPS/SSL/TLS: Mã hóa tất cả lưu lượng truy cập web. Sử dụng Let's Encrypt để có chứng chỉ SSL miễn phí.
  • HTTP Strict Transport Security (HSTS): Buộc trình duyệt chỉ kết nối với server qua HTTPS.
  • Tắt các module không cần thiết: Giảm bề mặt tấn công.
  • Giới hạn tốc độ (Rate Limiting): Ngăn chặn các cuộc tấn công DDoS và brute-force.
# Ví dụ cấu hình Nginx cơ bản cho HTTPS và HSTS
server {
    listen 80;
    server_name your_domain.com;
    return 301 https://$host$request_uri; # Chuyển hướng HTTP sang HTTPS
}

server {
    listen 443 ssl http2;
    server_name your_domain.com;

    ssl_certificate /etc/letsencrypt/live/your_domain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/your_domain.com/privkey.pem;

    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
    # ... các cấu hình khác của bạn ...
}

Bước 8: Kiểm Tra Bảo Mật Định Kỳ​

Bảo mật không phải là một công việc làm một lần. Nó là một quá trình liên tục.

  • Quét lỗ hổng (Vulnerability Scanning): Sử dụng các công cụ như OpenVAS, Nessus để tìm kiếm các lỗ hổng đã biết.
  • Kiểm thử xâm nhập (Penetration Testing): Thuê các chuyên gia bảo mật để mô phỏng các cuộc tấn công và tìm ra điểm yếu.
  • Kiểm tra cấu hình định kỳ: Đảm bảo các cấu hình bảo mật vẫn được duy trì và không có thay đổi trái phép.

Troubleshooting​

  • Không thể SSH vào server sau khi thay đổi cổng hoặc cấu hình tường lửa:
    • Nguyên nhân: Cổng SSH chưa được mở trên tường lửa hoặc bạn đã quên số cổng mới.
    • Cách xử lý: Nếu bạn có quyền truy cập console (ví dụ: thông qua nhà cung cấp dịch vụ đám mây), hãy đăng nhập qua console, kiểm tra lại cấu hình tường lửa (ufw status hoặc firewall-cmd --list-all) và file /etc/ssh/sshd_config. Mở lại cổng SSH hoặc đặt lại cổng về mặc định (22) để kiểm tra.
  • Các dịch vụ web không thể truy cập sau khi cấu hình tường lửa:
    • Nguyên nhân: Cổng HTTP (80) hoặc HTTPS (443) chưa được mở trên tường lửa.
    • Cách xử lý: Kiểm tra trạng thái tường lửa và đảm bảo các cổng cần thiết đã được cho phép. Thêm lại quy tắc nếu cần và tải lại tường lửa.
  • Fail2Ban chặn địa chỉ IP hợp lệ:
    • Nguyên nhân: Bạn đã nhập sai mật khẩu nhiều lần hoặc có cấu hình quá nhạy cảm.
    • Cách xử lý: Thêm địa chỉ IP của bạn vào danh sách trắng (whitelist) trong file jail.local hoặc jail.conf trong phần [DEFAULT] bằng cách thêm dòng ignoreip = 127.0.0.1/8 ::1 [IP_CUA_BAN]. Sau đó, khởi động lại Fail2Ban.

Kết Luận​

Việc chuẩn bị một server cho môi trường production đòi hỏi sự chú ý kỹ lưỡng đến từng chi tiết bảo mật. Bằng cách tuân thủ checklist này, bạn đã tạo ra một nền tảng vững chắc để bảo vệ ứng dụng và dữ liệu của mình khỏi các mối đ đe dọa phổ biến. Tuy nhiên, bảo mật không phải là một điểm đến mà là một hành trình liên tục.

Best practices:

  • Bảo mật theo lớp: Áp dụng nhiều lớp bảo mật (tường lửa, SSH, quản lý người dùng, mã hóa) để tạo ra một hệ thống phòng thủ sâu.
  • Cập nhật liên tục: Luôn giữ cho hệ điều hành và tất cả phần mềm được cập nhật.
  • Giám sát thường xuyên: Theo dõi nhật ký hệ thống và hoất động mạng để phát hiện sớm các dấu hiệu bất thường.
  • Kế hoạch phục hồi thảm họa: Đảm bảo bạn có kế hoạch sao lưu và phục hồi dữ liệu hiệu quả trong trường hợp xảy ra sự cố.
  • Đào tạo và nhận thức: Đảm bảo tất cả những người có quyền truy cập server đều hiểu về các thực hành bảo mật tốt nhất.

Bằng cách duy trì sự cảnh giác và liên tục cải thiện các biện pháp bảo mật, bạn có thể tự tin đưa server của mình vào production và duy trì hoạt động an toàn trong thời gian dài.