Hướng dẫn Hardening Linux Server 2026: Bảo mật hạ tầng cho doanh nghiệp Việt

Trong bối cảnh các cuộc tấn công mạng nhắm vào hạ tầng số tại Việt Nam ngày càng tinh vi, việc “hardening” (tăng cường bảo mật) máy chủ Linux không còn là lựa chọn mà là yêu cầu bắt buộc đối với mọi doanh nghiệp. Một máy chủ Linux mặc định thường chứa nhiều dịch vụ và cấu hình mở, tạo điều kiện cho hacker khai thác. Dưới đây là hướng dẫn chi tiết các bước hardening máy chủ Linux theo tiêu chuẩn 2026.

1. Bảo mật quyền truy cập SSH

SSH là cổng vào phổ biến nhất của các quản trị viên, nhưng cũng là mục tiêu hàng đầu của các cuộc tấn công brute-force. Để bảo mật SSH, bạn cần thực hiện các thay đổi sau trong tệp cấu hình /etc/ssh/sshd_config:

– Đổi cổng mặc định (ví dụ từ 22 sang một cổng cao như 2222): Việc này giúp tránh các bot quét cổng tự động trên Internet.

– Vô hiệu hóa đăng nhập bằng mật khẩu: Chỉ cho phép xác thực qua SSH Key (Public Key Authentication). Điều này loại bỏ hoàn toàn rủi ro bị brute-force mật khẩu.

– Cấm người dùng root đăng nhập trực tiếp: Sử dụng PermitRootLogin no và yêu cầu người dùng đăng nhập qua tài khoản thường rồi mới dùng sudo.

2. Quản lý tài khoản và quyền hạn

Nguyên tắc đặc quyền tối thiểu (Principle of Least Privilege) là nền tảng của hardening. Hãy đảm bảo rằng mỗi người dùng hoặc dịch vụ chỉ có đúng những quyền hạn cần thiết để hoạt động:

– Xóa bỏ các tài khoản không sử dụng: Kiểm tra /etc/passwd và loại bỏ các tài khoản rác hoặc tài khoản của nhân viên đã nghỉ việc.

– Kiểm soát quyền sudo: Chỉ cấp quyền sudo cho những người thực sự cần thiết và sử dụng các công cụ như sudo -l để kiểm tra quyền hạn hiện có.

– Thiết lập chính sách mật khẩu mạnh: Sử dụng module PAM (Pluggable Authentication Modules) để yêu cầu mật khẩu có độ dài tối thiểu 16 ký tự, bao gồm chữ hoa, chữ thường, số và ký tự đặc biệt.

3. Cấu hình tường lửa và giám sát mạng

Một máy chủ an toàn là một máy chủ chỉ mở những gì cần thiết. Sử dụng UFW (Uncomplicated Firewall) hoặc firewalld để kiểm soát lưu lượng mạng:

– Chặn toàn bộ lưu lượng vào mặc định: Chỉ mở các cổng cần thiết như HTTP (80), HTTPS (443) và cổng SSH đã đổi.

– Cài đặt Fail2Ban: Công cụ này sẽ tự động chặn các địa chỉ IP có dấu hiệu tấn công (như nhập sai mật khẩu SSH nhiều lần) trong một khoảng thời gian nhất định.

– Kiểm tra các cổng đang mở: Sử dụng lệnh netstat -tupln định kỳ để đảm bảo không có dịch vụ lạ nào đang lắng nghe trên máy chủ.

4. Cập nhật hệ thống và vá lỗi tự động

Hầu hết các vụ xâm nhập thành công đều khai thác các lỗ hổng đã có bản vá nhưng chưa được cài đặt. Trong năm 2026, tốc độ khai thác lỗ hổng (Exploit) nhanh hơn bao giờ hết, vì vậy doanh nghiệp cần:

– Bật tính năng Unattended Upgrades: Cho phép hệ thống tự động tải và cài đặt các bản cập nhật bảo mật ngay khi chúng được phát hành.

– Sử dụng Kernel Live Patching: Giúp vá các lỗi nghiêm trọng của nhân hệ điều hành (Kernel) mà không cần phải khởi động lại máy chủ, đảm bảo tính liên tục của dịch vụ.

5. Giám sát và ghi nhật ký (Logging)

Hardening không chỉ là ngăn chặn mà còn là khả năng phát hiện khi có sự cố xảy ra. Hãy đảm bảo hệ thống ghi nhật ký đầy đủ:

– Tập trung nhật ký: Chuyển log về một máy chủ tập trung hoặc sử dụng các dịch vụ SIEM để phân tích dấu hiệu xâm nhập bất thường.

– Kiểm tra log định kỳ: Chú ý đến các tệp như /var/log/auth.log hoặc /var/log/syslog để phát hiện các hành vi đăng nhập trái phép hoặc lỗi dịch vụ bất thường.

Kết luận: Hardening là một quá trình liên tục chứ không phải việc làm một lần. Bằng cách áp dụng các bước trên, doanh nghiệp Việt có thể xây dựng một lá chắn vững chắc cho hạ tầng số của mình trước những làn sóng tấn công ngày càng phức tạp trên Internet.

VNCyberS tổng hợp từ: Security hardening guides, CIS Benchmarks và kinh nghiệm thực tế.