How To Secure A Linux Server: Securing A Linux Server
/how-to-secure-a-linux-server
How To Secure A Linux Server là hướng dẫn miễn phí, do cộng đồng duy trì, để khóa chặt một server tại nhà, viết bởi người đã biến chính ghi chú hardening Debian của mình thành hướng dẫn công khai. Đáng đọc hết trước khi động vào file cấu hình nào - riêng phần SSH key đã giải thích khá rõ cơ chế public/private key. Nó không thay thế được CIS Benchmarks, và tự nó cũng thừa nhận điều đó: hãy coi đây là bước khởi động, không phải lời cuối.
Hướng dẫn hardening này bao gồm những gì
How To Secure A Linux Server bắt đầu từ ghi chú cá nhân của tác giả khi hardening một máy Debian tại nhà, sau đó đăng lên GitHub như một hướng dẫn work-in-progress, không phụ thuộc distro cụ thể. Nó dẫn dắt qua từng chủ đề theo thứ tự có chủ đích - SSH được hardening trước khi cài firewall - kèm lệnh shell copy-paste dựa trên apt. Phạm vi hẹp: server tại nhà, không phải doanh nghiệp, và không dạy lý thuyết bảo mật chung.
Vì sao máy chủ Linux trở thành mục tiêu tấn công
Theo chính cách hướng dẫn này trình bày, bất kỳ server nào truy cập được từ internet công cộng đều trở thành mục tiêu ngay khi lộ diện - không phải muộn hơn, mà ngay lập tức. Một máy chưa được bảo mật cho kẻ tấn công hoặc dữ liệu của bạn, hoặc một node phụ để dựng DDoS botnet, và hướng dẫn cũng chỉ ra rằng các vụ ransomware trên báo chỉ là một phần của bức tranh - nhiều cuộc xâm nhập chỉ nhằm âm thầm lấy dữ liệu hoặc mượn tài nguyên tính toán. Không phải kẻ tấn công nào cũng muốn tiền chuộc. Chi tiết đáng sợ hơn: nếu không có logging và giám sát, bạn có thể không bao giờ biết mình đã bị xâm nhập - đúng mô hình mà hướng dẫn nhắc tới ở các vụ rò rỉ dữ liệu doanh nghiệp quy mô lớn, âm thầm suốt nhiều tháng mới bị phát hiện.
Các chủ đề hardening chính trong hướng dẫn
- ✓Xác thực SSH bằng public/private key, với cơ chế challenge-response được giải thích trước khi bạn phải dán bất kỳ lệnh nào
- ✓Tắt hẳn đăng nhập root qua SSH
- ✓Đặt mật khẩu bảo vệ GRUB, để bootloader không phải là cửa sau bỏ ngỏ
- ✓Cập nhật bảo mật tự động đi kèm cảnh báo, được xem là một bước riêng chứ không gộp chung với một lần apt upgrade
- ✓Thông báo email qua Gmail và Exim4 dùng implicit TLS, để cảnh báo bảo mật thực sự đến được hộp thư
- ✓Một phần về firewall, được sắp xếp có chủ đích sau bước hardening SSH trong trình tự đề xuất của hướng dẫn
- ✓Một Ansible playbook được duy trì riêng (bởi thành viên GitHub moltenbit) tự động hóa toàn bộ các bước này
Hướng dẫn này dành cho ai
- •Người đang chạy server tại nhà trên một máy desktop tận dụng lại, đặt sau router gia đình, muốn SSH vào từ bên ngoài
- •Người dùng Linux đã quen cài đặt và thao tác hệ điều hành, vì hướng dẫn không dạy lại kiến thức Linux cơ bản
- •Người muốn có sẵn lệnh shell để copy-paste thay vì đọc văn xuôi mô tả phải gõ gì
- •Người sẵn sàng làm theo một thứ tự cụ thể - SSH trước, firewall sau - thay vì nhảy thẳng vào phần nghe hấp dẫn nhất
Điểm mạnh
- ✓Phần SSH key không chỉ bảo 'chạy lệnh này' - nó giải thích vì sao public key chỉ mã hóa được còn private key mới giải mã được, nhờ vậy các lệnh phía sau có ý nghĩa
- ✓Các đoạn lệnh shell dựa trên apt, copy-paste được xuyên suốt, giảm hẳn công sức gõ tay từng dòng cấu hình
- ✓Hướng dẫn thẳng thắn công khai to-do list các phần còn thiếu, thay vì để người đọc tưởng nó đã hoàn chỉnh
- ✓Được viết theo hướng không phụ thuộc distro, và nói rõ chỗ nào điều đó không còn đúng (khác biệt package manager), thay vì mặc định lệnh apt cho Debian chạy được ở mọi nơi
Những gì hướng dẫn này không đề cập
- △Mandatory access control (SELinux, AppArmor) chưa được đề cập - chính hướng dẫn liệt kê nó trong to-do list
- △Các công cụ phát hiện rootkit như rkhunter và chkrootkit cũng nằm trong to-do list, chưa có trong nội dung hiện tại
- △Disk encryption chỉ được nhắc một dòng ở bước cài đặt (tick vào tùy chọn) - không có hướng dẫn chi tiết riêng
- △Log shipping, backup, hay các công cụ như CIS-CAT và debsums được chính tác giả đánh dấu là còn thiếu, không phải bị bỏ sót âm thầm
- △Bảo mật vật lý nằm ngoài phạm vi, và hướng dẫn cũng không dạy kiến thức Linux nền tảng hay cách các công cụ được nhắc tới hoạt động bên trong
Các tài nguyên và benchmark hardening Linux khác
Câu hỏi thường gặp
How To Secure A Linux Server dẫn dắt qua xác thực SSH bằng key, tắt đăng nhập root, đặt mật khẩu bảo vệ GRUB, cập nhật bảo mật tự động kèm cảnh báo email, và một phần về firewall, xoay quanh các lệnh apt copy-paste được cho hệ thống dựa trên Debian.
How To Secure A Linux Server được viết để không phụ thuộc distro về mặt khái niệm, dù tác giả test trên Debian và cung cấp lệnh apt cụ thể - các distro khác cần tự quy đổi sang lệnh package manager tương ứng.
How To Secure A Linux Server không nêu thời gian hoàn thành cụ thể. Hướng dẫn khuyên đọc hết toàn bộ trước, rồi làm theo đúng thứ tự, vì một số phần phụ thuộc vào phần trước đó đã hoàn tất.
How To Secure A Linux Server đề cập hardening SSH khá chi tiết, gồm thiết lập public/private key và tắt đăng nhập root, cộng thêm một phần firewall được đặt có chủ đích sau các bước SSH trong trình tự đề xuất.
Một Ansible playbook riêng, do thành viên GitHub moltenbit duy trì, tự động hóa các bước từ How To Secure A Linux Server, dù nó nằm trong một repository riêng chứ không phải trong dự án chính.
CIS Benchmarks là các checklist hardening toàn diện, được cả ngành tin dùng, từ Center for Internet Security. How To Secure A Linux Server khuyên đọc hết hướng dẫn của họ trước, rồi mới tới CIS Benchmarks, để các khuyến nghị chặt hơn của CIS được ưu tiên áp dụng.
Ai nên thử — và ai nên bỏ qua
Nên thử nếu bạn đang dựng một server Linux tại nhà và muốn một lộ trình duy nhất, có thứ tự, đi qua các bước cơ bản - SSH key, tắt root login, GRUB, cập nhật tự động - kèm lệnh có thể dán và chỉnh theo ý mình. Nên bỏ qua nếu bạn đang hardening một hệ thống production quy mô lớn hoặc cần SELinux, disk encryption, hay công cụ phát hiện rootkit được nói kỹ - những phần đó vẫn nằm trong to-do list của dự án, nên hãy dùng kèm CIS Benchmarks hoặc tài liệu của distro bạn dùng.
Repo liên quan
Vẫn đang phân vân về how-to-secure-a-linux-server?
Một cú bấm sẽ gửi câu hỏi kèm trang này cho AI — xem AI nói gì về how-to-secure-a-linux-server.