25 cách tăng cường bảo mật cho một máy chủ Linux

14/06/2018

Hầu hết mọi người đều cho rằng hệ thống bảo mật của Linux đã được cài đặt sẵn và không cần phải thay đổi nhiều. Tuy nhiên, Linux có những mô hình bảo mật riêng cho các trường hợp khác nhau.Việc lựa chọn chế độ phù hợp có thể giúp tăng tính bảo mật cho toàn hệ thống. Linux có thể rất khó điều khiển, tuy nhiên nó lại có nhiều tùy chỉnh phù hợp và linh hoạt.

Việc bảo đảm an toàn cho một hệ thống khỏi những kẻ tấn công luôn là những nhiệm vụ đầy khó khăn đối với những quản trị viên. Trong bài viết này, chúng tôi sẽ giới thiệu 25 mẹo để có thể bảo vệ một server Linux hiệu quả hơn, hy vọng có thể giúp ích cho những người đã và đang sử dụng hệ điều hành này.

  1. Bảo vệ hệ thống vật lý
    Loại bỏ các nguy cơ bị boot hệ thống BIOS bằng CD/DVD, đĩa mềm và các thiết bị bên ngoài. Hãy đặt đặt mật khẩu cho BIOS và GRUB để ngăn chặn tất cả các kết nối giữa hệ thống với các thiết bị vật lý bên ngoài.
  2. Phân vùng ổ cứng
    Việc phân chia dữ liệu không chỉ khiến cho nó được sắp xếp hợp lý hơn, mà còn giúp các dữ liệu được bảo vệ tốt hơn trong trường hợp có sự cố không mong muốn xảy ra. Khi đó, chỉ có các dữ liệu trong những vùng xảy ra sự cố bị ảnh hưởng, không gây hại tới các gói dữ liệu khác. Một mô hình phân chia bạn có thể học theo, trong đó, các ứng dụng của bên thứ ba nên được cài vào file ‘/opt’
    //boot/usr /var /home/tmp/opt
  3. Bớt đi các gói dữ liệu không cần thiết, hạn chế lỗ hổng bảo mật
    Bạn có bao giờ sử dụng tất cả các gói dịch vụ? Theo chúng tôi, bạn nên bỏ đi những gói tin không cần thiết để tránh việc bị tấn công thông qua những lỗ hổng của gói đó. Hãy kiểm tra lại một lượt xem có những ứng dụng nào không cần đến và gỡ chúng đi. Sử dụng lệnh ‘chkconfig’ để tìm các dịch vụ đang được chạy ở mức độ 3
    # /sbin/chkconfig --list |grep '3:on'

    Một khi đã phát hiện ra những dịch vụ không cần thiết, loại bỏ chúng bằng câu lệnh

    # chkcongfig serviceName off

    Hoặc có thể sử dụng gói quản lý RPM ví dụ như “yum” hay “apt-get” để liệt kê tất cả các gói tin đã được cài đặt và loại bảo chúng bằng các câu lệnh sau

    #yum -y remove package-name# sudo apt-get remove package-name
  4. Kiểm tra các cổng kết nối mạng
    Với sự trợ giúp của cú pháp ‘netstat’ bạn có thể kiểm tra tất cả các cổng kết nối mở và các chương trình có liên kết ra bên ngoài. Và giống như ở trên, hãy sử dụng ‘chkcongfig’ để loại bỏ chúng
    # netstat -tulpn
  5. Sử dụng Secure Shell(SSH)
    Các giao thức  cũ như Telnet và rlogin chỉ sử dụng những text đơn giản để truyền tin, không có cơ chế mã hóa thông tin. SSH là giao thức an toàn hơn,vì nó sử dụng sẽ mã hóa thông tin trước khi truyền đi trong suốt quá trình giao tiếp giữa người dùng với server. Hãy mở file cấu hình chính của SSH và sử dụng những cú pháp sau để giới hạn đăng nhập của người dùng
    # vi /etc/ssh/sshd_config

    Loại bỏ Root Login

    PermitRootLogin no

    Chỉ chấp nhận một vài người dùng đặc biệt

    AllowUsers username

    Sử dụng giao thức SSH version 2

    Protocol 2
  6. Thường xuyên update hệ thống
    Luôn giữ hệ thống của bạn được cập nhật những bản vá,sửa lỗi và nâng cấp phần nhân hệ thống ngay khi có thể.
     # yum update
     # yum check-update
  7. Khóa Cronjobs
    Cron có những khả năng tự làm việc, tuy nhiên nó cũng cho phép người dùng tự điều khiển nếu như họ muốn. Có thể điều khiển thông qua các file có địa chỉ ‘/etc/cron.allow’ và ‘etc/cron.deny’. Thêm tên của một người sử dụng vào cron.deny nếu như không muốn họ chỉnh sửa cron, hoặc thêm vào cron.allow nếu cho phép họ sử dụng cron. Nếu như muốn tất cả những người sử dụng không thể sử  dụng cron, thêm dòng lệnh ALL vào file ‘cron.deny’
     # echo ALL >>/etc/cron.deny
  8. Tắt USB stick.
    Đã từng rất nhiều lần xảy ra chuyện chúng ta muốn hạn chế người sử dụng kết nối với hệ thống bằng USB để tránh tình trạng đánh cắp thông tin. Hãy tạo một file ‘/etc/modprobe.d/no-usb’ và thêm những dòng sau để hệ thống không nhận các thiết bị USB nữa
    install usb-storage /bin/true
  9. Sử dụng SELinux
    Hệ thống bảo mật nâng cao(SELinux) là một cơ chế bảo mật cung cấp ở vùng nhân. Tắt nó đi đồng nghĩa với việc loại bỏ cơ chế bảo vệ ra khỏi hệ thống. Hãy suy nghĩ thật kĩ mỗi khi muốn tắt nó, đặc biệt nếu hệ thống của bạn cần kết nối internet và có chế độ truy cập là công khai.
    SELinux có ba chế độ điều khiển sau:
    Enforcing: Chế độ thông thường, kích hoạt SELinux và để nó toàn quyền hoạt động tự do
    Permissive: Trong chế độ này, SELinux sẽ phải gửi những báo cáo cũng như cảnh báo cho người dùng trước mỗi hoạt động. Chế độ này vô cùng hữu ích trong trường hợp chuẩn đoán và xử lý nếu có sự cố xảy ra.
    Disable:tắt SELinux
  10. Loại bỏ các màn hình kiểu KDE và GNOME
    Rõ ràng là không cần thiết phải sử dụng các màn hình Window như là KDE hay GNOME cho server của bạn. Bạn có thể tắt hoặc gỡ nó đi để tăng cường bảo mật cho server. Để tắt nó , hãy mở file ‘etc/initab’ và đặt  chạy ở mức độ 3. Còn nếu muốn loại bỏ hoàn toàn khỏi hệ thống, hãy sử dụng câu lệnh sau:
    # yum groupmove "X Window System"
  11. Tắt IPv6
    Nếu như bạn không sử dụng IPv6, hãy tắt nó đi bởi vì phần lớn các ứng dụng không đòi hỏi giao thức này và hiện tại, nó cũng không cần thiết cho server nữa. Hãy vào file cấu hình mạng, thêm dòng lệnh sau để loại bỏ IPv6# vi /etc/sysconfig/network
    NETWORKING_IPV6=noIPV6INIT=no
  12. Hạn chế sử dụng lại các mật khẩu cũ
    Sẽ cực kỳ hữu ích nếu như bạn ngăn chặn việc những người sử dụng đặt lại một trong những mật khẩu cũ của họ. Các mật khẩu sẽ được lưu trữ tại /etc/pam.d/system-auth, file này chỉ có thể truy cập trong chế độ PAM.
    Mở file ‘etc/pam.d/system-auth’ trong RHEL/CentOS/Fedora.
    # vi /etc/pam.d/system-auth

    Thêm dòng lệnh sau vào mục ‘auth’

    auth        sufficient      pam_unix.so likeauth nullok

    Mờ file ‘etc/pam.d/common-password’ trong Ubuntu/Debian/Linux Mint

    # vi /etc/pam.d/common-password

    Thêm dòng lệnh sau vào mục ‘password’ để ngăn người dùng sử dụng lại 1 trong 5 password gần nhất của họ

    password    sufficient      pam_unix.so nullok use_authtok md5 shadow remember=5

    Nếu như người dùng muốn sử dụng lại bất kỳ mật khẩu nào trong số 5 cái mới nhất, họ sẽ nhận được một dòng cảnh báo

    Password has been already used. Choose another.
  13. Làm thế nào để kiểm tra thời gian sử dụng một password của người sử dụng
    Trong Linux, mật khẩu  người dùng được lưu trữ trong file ‘/etc/shadow’ dưới dạng mã hóa. Để kiểm tra thời gian sử dụng password của người sử dụng, bạn sẽ cần sử dụng câu lệnh ‘chage’. Nó sẽ  hiển thị lên các thông tin về thời hạn của một mật khẩu theo số liệu về thời gian thay đổi gần nhất. Những thông tin này được hệ thống sử dụng để quyết định khi nào người sử dụng cần thay đổi mật khẩu của họ
    #chage -l username

    Để thay đổi giới hạn cho một password, sử dụng câu lệnh

    #chage -M 60 username#chage -M 60 -m 7 -W 7 username

    Với -M:Số ngày tồn tại tối đa của mật khẩu
    -m:số ngày tối thiểu
    -W:Số ngày để đưa ra cảnh báo

  14. Khóa và mở một tài khoản theo cách thủ công
    Việc khóa và mở khóa rất hữu dụng, thay vì phải loại bỏ hẳn một tài khoản ra khỏi hệ thống, bạn chỉ cần khóa tài khoản đó lại trong vòng 1 tuần hoặc một tháng. Để khóa một tài khoản mà bạn muốn, sử dụng cú pháp sau
     # paswd -l accountName

    Lưu ý: Việc khóa thực chất chỉ là thay mật khẩu đã được mã hóa với một sâu kí tự khác. Nếu ai đó muốn truy cập bằng tài khoản này, nó sẽ hiện ra thông báo

     # su - accountName
     This account is currently not available.

    Để mở khóa và cho phép một mật khẩu bị khóa có thể truy cập lại, sử dụng câu lệnh dưới đây, nó sẽ lại thay thế chuỗi ký tự với mật khẩu được mã hóa

     passwd -u accountName
  15. Khuyến khích sử dụng những mật khẩu mạnh hơn
    Một số lượng lớn người sử dụng chỉ đặt cho mình những mật khẩu yếu và dễ bị hack. ‘pam_cracklib’ trong chế độ PAM sẽ buộc người dùng phải sử dụng cho mình những mật khẩu mạnh và an toàn hơn. Hãy thêm những dòng sau bằng một trình biên soạn.
     # vi etc/pam.d/system-auth

    và thêm dòng sau(lcredit,ucredit, dcredit hay ocredit tương ứng với chữ thường, chữ hoa, chữ số và các kí tự khác)

     /lib/security/$ÍA/pam_cracklist.so retry = 3 minlen=8 lcredit =-1 ucredit=-2 dcredit=-2 ocredit=-1
  16. Sử dụng Iptable(tường lửa)
    Một điều được khuyến khích đó là bật chế độ tường lửa của Linux để kiểm soát những truy cập trái phép vào trong server của bạn. Hãy dùng iptable để có thể kiểm tra những gói tin đến, đi hoặc chuyển tiếp. Chúng ta hoàn toàn có thể xem xét địa chỉ nguồn và đích đến để có quyết định chấp nhận gói tin hay không
  17. Loại bỏ tổ hợp Ctrl+Alt+Delete
    Trong hệ điều hành Linux, ấn tổ hợp phím ‘CTRL+ALT+DELETE’ sẽ bắt đầu quá trình reboot hệ thống. Rõ ràng đây không phải và một ý hay, giả sử nếu như có một ai đó lỡ tay ấn nhầm.
    Tổ hợp phím được định nghĩa trong file’/etc/inttab’ . Thông thường các dòng lệnh sẽ bị ẩn đi, vì thế chúng ta cần làm nó hiện ra trước.
    # Trap CTRL-ALT-DELETE
    #ca::ctrlaltdel:/sbin/shutdown -t3 -r now
  18. Kiểm tra các tài khoản không có password
    Bất kể tài khoản nào mà không có mật khẩu đồng nghĩa với việc nó đang mở ra một lối truy cập trái phép cho bất kỳ ai. Vì thế bạn nên chắc chắn rằng tất cả các tài khoản đều sử dụng một mật khẩu mạnh và không ai có thể truy cập  một cách trái phép được. Các tài khoản không có mật khẩu là một đe dọa về bảo mật. Để kiểm tra các tài khoản này sử dụng câu lệnh sau
    #cat /etc/shadow |awk -F: '($2==""){print $1}'
  19. Hiển thị những tiêu đề cảnh báo SSH trước khi đăng nhập
    Sẽ là rất tốt nếu như bạn luôn đưa ra những tiêu đề về cảnh báo bảo mật SSH mỗi khi có người dùng đăng nhập.
  20. Giám sát các hành vi của người dùng.
    Nếu có quá  nhiều người sử dụng server của bạn, việc thu thập và phân tích các thông tin về mỗi hành vi của họ là vô cùng quan trọng. Tuy nhiên, làm thế nào để có thể thực hiện được việc này?
    Có hai công cụ vô cùng hữu ích cho chúng ta đó là ‘psacct’ và ‘acct’, giúp chúng ta quản lý mọi hành vi của những người sử dụng và các tiến trình diễn ra trong hệ thống.
    Những công cụ này chạy ngầm trong hệ thống và ghi lại từng hành vi của người sử dụng, cũng như theo dõi việc sử dụng tài nguyên cho các dịch vụ, ví dụ như Apache, MySQL, SSH, FTP…
  21. Kiểm tra, đánh giá các hoạt động một cách thường xuyên.
    Hãy di chuyển các hoạt động vào log server, điều này tránh việc những kẻ tấn công có thể xâm nhập vào và chỉnh sửa các hoạt động hệ thống. Thông thường, các file lưu trữ các hoạt động được đặt tại địa chỉ ‘/var/log’.
  22. Xây dựng file Backup
    Trong mọi hệ thống, luôn cần có một tệp tin làm nhiệm vụ sao lưu và phục hồi lại mỗi khi có sự cố xảy ra.
  23. Kết nối NIC
    Có hai loại kết nối NIC sau
    mode=0 Round Robin
    mode=1 kích hoạt và backup
    Khi xây dựng kết nối, chúng ta “kéo” hai hoặc nhiều hơn những kết nối lại với nhau và dùng một trường kết nối ảo để sử dụng IP giao tiếp với các server khác, Nếu có một thẻ NIC bị tạm ngừng hoặc không thể sử dụng được, thì các hoạt động vẫn diễn ra bình thường.
  24. Đặt địa chỉ /boot ở chế độ read-only
    Lõi Linux và những phần tử có liên quan đều nằm trong địa chỉ /boot vơi chế độ mặc định read-write. Chuyển về chế đọ read-only sẽ giảm thiểu các nguy cơ bị chỉnh sửa từ bên ngoài hoặc gây ra các lỗi với file boot. Để làm điều này, mở file ‘/etc/ftad’
     # vi /etc/fstad

    Và thêm dòng lệnh sau vào cuối, lưu rồi đóng file lại

     LABEL=/boot     /boot     evt2    default

    Lưu ý rằng, nếu bạn muốn nâng cấp nhân hệ thống bạn cần phải đặt lại về chế độ read-write

  25. Bỏ qua ICMP hoặc các yêu cầu quảng cáo
    Thêm dòng sau vào “/etc/sysctl.conf” để bỏ qua các yêu cầu ping hay quảng cáo
    net.ipv4.icmp_echo_ignore_all = 1net.ipv4.icmp_echo_ignore_broadcasts = 1

    Lưu lại các thay đổi cấu hình trên bằng câu lệnh

    #sysct1 -p

 

Tin liên quan

16/07/2024

Viettel IDC được vinh danh doanh nghiệp tiêu biểu vì người lao động

Mới đây, Viettel IDC đã được trao danh hiệu "Doanh nghiệp tiêu biểu vì người lao động" và là một trong những đơn vị có thành tích xuất sắc trong hoạt động chăm lo đời sống cho CBNV.

01/07/2024

Cùng nhìn lại dấu ấn Hội nghị Data Center & Cloud Infrastructure (DCCI) Summit 2024

Vào ngày 26.06.2024 vừa qua, DCCI Summit được tổ chức tại TP. Hồ Chí Minh với chủ đề "Phát triển tương lai số bền vững" đã diễn ra thành công tốt đẹp.

07/03/2024

Khám phá 3 ứng dụng nổi bật của mô hình trí tuệ nhân tạo tạo sinh

Trí tuệ nhân tạo tạo sinh đang tạo nên những đột phá mới, mở ra cánh cửa cho vô số ứng dụng sáng tạo. Bài viết này sẽ giới thiệu 3 ví dụ điển hình về cách thức các mô hình trí tuệ nhân tạo tạo sinh đang được ứng dụng, giúp bạn hiểu hơn về công nghệ AI này.

07/03/2024

SSL miễn phí và trả phí - Đâu là lựa chọn thông minh?

Với sự xuất hiện của nhiều loại SSL khác nhau, không ít người băn khoăn có nên lựa chọn SSL miễn phí hay không. Trong bài viết này, Viettel IDC sẽ điểm qua các thông tin quan trọng, giúp bạn hiểu rõ lợi ích và hạn chế khi đăng ký SSL miễn phí.

20/05/2024

NPU là gì? Khám phá lợi ích nổi bật của NPU có thể bạn chưa biết

Ứng dụng NPU được xem là công cụ giúp người dùng khai thác sức mạnh của trí tuệ nhân tạo hiệu quả hơn. Trong bài viết này, chúng ta sẽ khám phá chi tiết hơn về NPU là gì, bao gồm cách thức hoạt động, lợi ích cũng như tầm quan trọng của chúng trong việc giải quyết các nhiệm vụ AI trong đời sống.

11/04/2024

Cyber attack là gì? Các loại hình tấn công và giải pháp ngăn chặn phổ biến

Cyber attack được xem là vấn đề an ninh mạng mà không một cá nhân, tổ chức nào có thể xem nhẹ. Trong bài viết này, hãy cùng Viettel IDC tìm hiểu tổng quan Cyber Attack là gì cũng như giải pháp phòng chống đáng cân nhắc nhé.

18/04/2024

Hiểu về 3 loại lưu trữ dữ liệu đám mây chính hiện nay

Với khả năng lưu trữ và quản lý dữ liệu một cách dễ dàng và hiệu quả, Cloud Storage - lưu trữ đám mây đang dần trở thành giải pháp linh hoạt và hiệu quả, được nhiều người ưa chuộng. Hãy cùng Viettel IDC khám phá về 3 loại lưu trữ đám mây chính hiện nay với bài viết sau nhé.

16/04/2024

Mức độ nguy hiểm của lỗ hổng Zero Day Attack có thể bạn chưa biết

Một trong những nguy hiểm tiềm ẩn mà người dùng cần đặc biệt lưu ý là lỗ hổng Zero Day Attack. Vậy Zero Day Attack là gì? Mức độ nguy hiểm của chúng có gì đáng lưu tâm? Hãy cùng Viettel IDC tìm hiểu chi tiết hơn qua bài viết sau, giúp bạn nâng cao ý thức phòng tránh khỏi những mối đe dọa tiềm ẩn này nhé.

15/04/2024

Bí quyết tăng tốc website nhanh chóng và dễ dàng

Trong bài viết này, Viettel IDC sẽ hướng dẫn bạn những bí quyết giúp tăng tốc website nhanh chóng và hiệu quả, giúp tối ưu hiệu suất, tốc độ website của mình, hãy cùng điểm qua nhé.

03/04/2024

3 lý do không thể bỏ qua Custom Domain cho doanh nghiệp

Việc sở hữu một tên miền riêng, được cá nhân hóa cho doanh nghiệp đóng vai trò vô cùng quan trọng, không chỉ giúp nâng cao uy tín và độ nhận diện thương hiệu mà còn tạo dựng niềm tin vững chắc với khách hàng. Hãy cùng khám phá ba lý do cốt lõi giải thích vì sao Custom Domain là một yếu tố không thể thiếu trong hành trình xây dựng và phát triển thương hiệu của doanh nghiệp nhé.

// doi link