25 cách tăng cường bảo mật cho một máy chủ Linux

14/06/2018

Hầu hết mọi người đều cho rằng hệ thống bảo mật của Linux đã được cài đặt sẵn và không cần phải thay đổi nhiều. Tuy nhiên, Linux có những mô hình bảo mật riêng cho các trường hợp khác nhau.Việc lựa chọn chế độ phù hợp có thể giúp tăng tính bảo mật cho toàn hệ thống. Linux có thể rất khó điều khiển, tuy nhiên nó lại có nhiều tùy chỉnh phù hợp và linh hoạt.

Việc bảo đảm an toàn cho một hệ thống khỏi những kẻ tấn công luôn là những nhiệm vụ đầy khó khăn đối với những quản trị viên. Trong bài viết này, chúng tôi sẽ giới thiệu 25 mẹo để có thể bảo vệ một server Linux hiệu quả hơn, hy vọng có thể giúp ích cho những người đã và đang sử dụng hệ điều hành này.

  1. Bảo vệ hệ thống vật lý
    Loại bỏ các nguy cơ bị boot hệ thống BIOS bằng CD/DVD, đĩa mềm và các thiết bị bên ngoài. Hãy đặt đặt mật khẩu cho BIOS và GRUB để ngăn chặn tất cả các kết nối giữa hệ thống với các thiết bị vật lý bên ngoài.
  2. Phân vùng ổ cứng
    Việc phân chia dữ liệu không chỉ khiến cho nó được sắp xếp hợp lý hơn, mà còn giúp các dữ liệu được bảo vệ tốt hơn trong trường hợp có sự cố không mong muốn xảy ra. Khi đó, chỉ có các dữ liệu trong những vùng xảy ra sự cố bị ảnh hưởng, không gây hại tới các gói dữ liệu khác. Một mô hình phân chia bạn có thể học theo, trong đó, các ứng dụng của bên thứ ba nên được cài vào file ‘/opt’
    //boot/usr /var /home/tmp/opt
  3. Bớt đi các gói dữ liệu không cần thiết, hạn chế lỗ hổng bảo mật
    Bạn có bao giờ sử dụng tất cả các gói dịch vụ? Theo chúng tôi, bạn nên bỏ đi những gói tin không cần thiết để tránh việc bị tấn công thông qua những lỗ hổng của gói đó. Hãy kiểm tra lại một lượt xem có những ứng dụng nào không cần đến và gỡ chúng đi. Sử dụng lệnh ‘chkconfig’ để tìm các dịch vụ đang được chạy ở mức độ 3
    # /sbin/chkconfig --list |grep '3:on'

    Một khi đã phát hiện ra những dịch vụ không cần thiết, loại bỏ chúng bằng câu lệnh

    # chkcongfig serviceName off

    Hoặc có thể sử dụng gói quản lý RPM ví dụ như “yum” hay “apt-get” để liệt kê tất cả các gói tin đã được cài đặt và loại bảo chúng bằng các câu lệnh sau

    #yum -y remove package-name# sudo apt-get remove package-name
  4. Kiểm tra các cổng kết nối mạng
    Với sự trợ giúp của cú pháp ‘netstat’ bạn có thể kiểm tra tất cả các cổng kết nối mở và các chương trình có liên kết ra bên ngoài. Và giống như ở trên, hãy sử dụng ‘chkcongfig’ để loại bỏ chúng
    # netstat -tulpn
  5. Sử dụng Secure Shell(SSH)
    Các giao thức  cũ như Telnet và rlogin chỉ sử dụng những text đơn giản để truyền tin, không có cơ chế mã hóa thông tin. SSH là giao thức an toàn hơn,vì nó sử dụng sẽ mã hóa thông tin trước khi truyền đi trong suốt quá trình giao tiếp giữa người dùng với server. Hãy mở file cấu hình chính của SSH và sử dụng những cú pháp sau để giới hạn đăng nhập của người dùng
    # vi /etc/ssh/sshd_config

    Loại bỏ Root Login

    PermitRootLogin no

    Chỉ chấp nhận một vài người dùng đặc biệt

    AllowUsers username

    Sử dụng giao thức SSH version 2

    Protocol 2
  6. Thường xuyên update hệ thống
    Luôn giữ hệ thống của bạn được cập nhật những bản vá,sửa lỗi và nâng cấp phần nhân hệ thống ngay khi có thể.
     # yum update
     # yum check-update
  7. Khóa Cronjobs
    Cron có những khả năng tự làm việc, tuy nhiên nó cũng cho phép người dùng tự điều khiển nếu như họ muốn. Có thể điều khiển thông qua các file có địa chỉ ‘/etc/cron.allow’ và ‘etc/cron.deny’. Thêm tên của một người sử dụng vào cron.deny nếu như không muốn họ chỉnh sửa cron, hoặc thêm vào cron.allow nếu cho phép họ sử dụng cron. Nếu như muốn tất cả những người sử dụng không thể sử  dụng cron, thêm dòng lệnh ALL vào file ‘cron.deny’
     # echo ALL >>/etc/cron.deny
  8. Tắt USB stick.
    Đã từng rất nhiều lần xảy ra chuyện chúng ta muốn hạn chế người sử dụng kết nối với hệ thống bằng USB để tránh tình trạng đánh cắp thông tin. Hãy tạo một file ‘/etc/modprobe.d/no-usb’ và thêm những dòng sau để hệ thống không nhận các thiết bị USB nữa
    install usb-storage /bin/true
  9. Sử dụng SELinux
    Hệ thống bảo mật nâng cao(SELinux) là một cơ chế bảo mật cung cấp ở vùng nhân. Tắt nó đi đồng nghĩa với việc loại bỏ cơ chế bảo vệ ra khỏi hệ thống. Hãy suy nghĩ thật kĩ mỗi khi muốn tắt nó, đặc biệt nếu hệ thống của bạn cần kết nối internet và có chế độ truy cập là công khai.
    SELinux có ba chế độ điều khiển sau:
    Enforcing: Chế độ thông thường, kích hoạt SELinux và để nó toàn quyền hoạt động tự do
    Permissive: Trong chế độ này, SELinux sẽ phải gửi những báo cáo cũng như cảnh báo cho người dùng trước mỗi hoạt động. Chế độ này vô cùng hữu ích trong trường hợp chuẩn đoán và xử lý nếu có sự cố xảy ra.
    Disable:tắt SELinux
  10. Loại bỏ các màn hình kiểu KDE và GNOME
    Rõ ràng là không cần thiết phải sử dụng các màn hình Window như là KDE hay GNOME cho server của bạn. Bạn có thể tắt hoặc gỡ nó đi để tăng cường bảo mật cho server. Để tắt nó , hãy mở file ‘etc/initab’ và đặt  chạy ở mức độ 3. Còn nếu muốn loại bỏ hoàn toàn khỏi hệ thống, hãy sử dụng câu lệnh sau:
    # yum groupmove "X Window System"
  11. Tắt IPv6
    Nếu như bạn không sử dụng IPv6, hãy tắt nó đi bởi vì phần lớn các ứng dụng không đòi hỏi giao thức này và hiện tại, nó cũng không cần thiết cho server nữa. Hãy vào file cấu hình mạng, thêm dòng lệnh sau để loại bỏ IPv6# vi /etc/sysconfig/network
    NETWORKING_IPV6=noIPV6INIT=no
  12. Hạn chế sử dụng lại các mật khẩu cũ
    Sẽ cực kỳ hữu ích nếu như bạn ngăn chặn việc những người sử dụng đặt lại một trong những mật khẩu cũ của họ. Các mật khẩu sẽ được lưu trữ tại /etc/pam.d/system-auth, file này chỉ có thể truy cập trong chế độ PAM.
    Mở file ‘etc/pam.d/system-auth’ trong RHEL/CentOS/Fedora.
    # vi /etc/pam.d/system-auth

    Thêm dòng lệnh sau vào mục ‘auth’

    auth        sufficient      pam_unix.so likeauth nullok

    Mờ file ‘etc/pam.d/common-password’ trong Ubuntu/Debian/Linux Mint

    # vi /etc/pam.d/common-password

    Thêm dòng lệnh sau vào mục ‘password’ để ngăn người dùng sử dụng lại 1 trong 5 password gần nhất của họ

    password    sufficient      pam_unix.so nullok use_authtok md5 shadow remember=5

    Nếu như người dùng muốn sử dụng lại bất kỳ mật khẩu nào trong số 5 cái mới nhất, họ sẽ nhận được một dòng cảnh báo

    Password has been already used. Choose another.
  13. Làm thế nào để kiểm tra thời gian sử dụng một password của người sử dụng
    Trong Linux, mật khẩu  người dùng được lưu trữ trong file ‘/etc/shadow’ dưới dạng mã hóa. Để kiểm tra thời gian sử dụng password của người sử dụng, bạn sẽ cần sử dụng câu lệnh ‘chage’. Nó sẽ  hiển thị lên các thông tin về thời hạn của một mật khẩu theo số liệu về thời gian thay đổi gần nhất. Những thông tin này được hệ thống sử dụng để quyết định khi nào người sử dụng cần thay đổi mật khẩu của họ
    #chage -l username

    Để thay đổi giới hạn cho một password, sử dụng câu lệnh

    #chage -M 60 username#chage -M 60 -m 7 -W 7 username

    Với -M:Số ngày tồn tại tối đa của mật khẩu
    -m:số ngày tối thiểu
    -W:Số ngày để đưa ra cảnh báo

  14. Khóa và mở một tài khoản theo cách thủ công
    Việc khóa và mở khóa rất hữu dụng, thay vì phải loại bỏ hẳn một tài khoản ra khỏi hệ thống, bạn chỉ cần khóa tài khoản đó lại trong vòng 1 tuần hoặc một tháng. Để khóa một tài khoản mà bạn muốn, sử dụng cú pháp sau
     # paswd -l accountName

    Lưu ý: Việc khóa thực chất chỉ là thay mật khẩu đã được mã hóa với một sâu kí tự khác. Nếu ai đó muốn truy cập bằng tài khoản này, nó sẽ hiện ra thông báo

     # su - accountName
     This account is currently not available.

    Để mở khóa và cho phép một mật khẩu bị khóa có thể truy cập lại, sử dụng câu lệnh dưới đây, nó sẽ lại thay thế chuỗi ký tự với mật khẩu được mã hóa

     passwd -u accountName
  15. Khuyến khích sử dụng những mật khẩu mạnh hơn
    Một số lượng lớn người sử dụng chỉ đặt cho mình những mật khẩu yếu và dễ bị hack. ‘pam_cracklib’ trong chế độ PAM sẽ buộc người dùng phải sử dụng cho mình những mật khẩu mạnh và an toàn hơn. Hãy thêm những dòng sau bằng một trình biên soạn.
     # vi etc/pam.d/system-auth

    và thêm dòng sau(lcredit,ucredit, dcredit hay ocredit tương ứng với chữ thường, chữ hoa, chữ số và các kí tự khác)

     /lib/security/$ÍA/pam_cracklist.so retry = 3 minlen=8 lcredit =-1 ucredit=-2 dcredit=-2 ocredit=-1
  16. Sử dụng Iptable(tường lửa)
    Một điều được khuyến khích đó là bật chế độ tường lửa của Linux để kiểm soát những truy cập trái phép vào trong server của bạn. Hãy dùng iptable để có thể kiểm tra những gói tin đến, đi hoặc chuyển tiếp. Chúng ta hoàn toàn có thể xem xét địa chỉ nguồn và đích đến để có quyết định chấp nhận gói tin hay không
  17. Loại bỏ tổ hợp Ctrl+Alt+Delete
    Trong hệ điều hành Linux, ấn tổ hợp phím ‘CTRL+ALT+DELETE’ sẽ bắt đầu quá trình reboot hệ thống. Rõ ràng đây không phải và một ý hay, giả sử nếu như có một ai đó lỡ tay ấn nhầm.
    Tổ hợp phím được định nghĩa trong file’/etc/inttab’ . Thông thường các dòng lệnh sẽ bị ẩn đi, vì thế chúng ta cần làm nó hiện ra trước.
    # Trap CTRL-ALT-DELETE
    #ca::ctrlaltdel:/sbin/shutdown -t3 -r now
  18. Kiểm tra các tài khoản không có password
    Bất kể tài khoản nào mà không có mật khẩu đồng nghĩa với việc nó đang mở ra một lối truy cập trái phép cho bất kỳ ai. Vì thế bạn nên chắc chắn rằng tất cả các tài khoản đều sử dụng một mật khẩu mạnh và không ai có thể truy cập  một cách trái phép được. Các tài khoản không có mật khẩu là một đe dọa về bảo mật. Để kiểm tra các tài khoản này sử dụng câu lệnh sau
    #cat /etc/shadow |awk -F: '($2==""){print $1}'
  19. Hiển thị những tiêu đề cảnh báo SSH trước khi đăng nhập
    Sẽ là rất tốt nếu như bạn luôn đưa ra những tiêu đề về cảnh báo bảo mật SSH mỗi khi có người dùng đăng nhập.
  20. Giám sát các hành vi của người dùng.
    Nếu có quá  nhiều người sử dụng server của bạn, việc thu thập và phân tích các thông tin về mỗi hành vi của họ là vô cùng quan trọng. Tuy nhiên, làm thế nào để có thể thực hiện được việc này?
    Có hai công cụ vô cùng hữu ích cho chúng ta đó là ‘psacct’ và ‘acct’, giúp chúng ta quản lý mọi hành vi của những người sử dụng và các tiến trình diễn ra trong hệ thống.
    Những công cụ này chạy ngầm trong hệ thống và ghi lại từng hành vi của người sử dụng, cũng như theo dõi việc sử dụng tài nguyên cho các dịch vụ, ví dụ như Apache, MySQL, SSH, FTP…
  21. Kiểm tra, đánh giá các hoạt động một cách thường xuyên.
    Hãy di chuyển các hoạt động vào log server, điều này tránh việc những kẻ tấn công có thể xâm nhập vào và chỉnh sửa các hoạt động hệ thống. Thông thường, các file lưu trữ các hoạt động được đặt tại địa chỉ ‘/var/log’.
  22. Xây dựng file Backup
    Trong mọi hệ thống, luôn cần có một tệp tin làm nhiệm vụ sao lưu và phục hồi lại mỗi khi có sự cố xảy ra.
  23. Kết nối NIC
    Có hai loại kết nối NIC sau
    mode=0 Round Robin
    mode=1 kích hoạt và backup
    Khi xây dựng kết nối, chúng ta “kéo” hai hoặc nhiều hơn những kết nối lại với nhau và dùng một trường kết nối ảo để sử dụng IP giao tiếp với các server khác, Nếu có một thẻ NIC bị tạm ngừng hoặc không thể sử dụng được, thì các hoạt động vẫn diễn ra bình thường.
  24. Đặt địa chỉ /boot ở chế độ read-only
    Lõi Linux và những phần tử có liên quan đều nằm trong địa chỉ /boot vơi chế độ mặc định read-write. Chuyển về chế đọ read-only sẽ giảm thiểu các nguy cơ bị chỉnh sửa từ bên ngoài hoặc gây ra các lỗi với file boot. Để làm điều này, mở file ‘/etc/ftad’
     # vi /etc/fstad

    Và thêm dòng lệnh sau vào cuối, lưu rồi đóng file lại

     LABEL=/boot     /boot     evt2    default

    Lưu ý rằng, nếu bạn muốn nâng cấp nhân hệ thống bạn cần phải đặt lại về chế độ read-write

  25. Bỏ qua ICMP hoặc các yêu cầu quảng cáo
    Thêm dòng sau vào “/etc/sysctl.conf” để bỏ qua các yêu cầu ping hay quảng cáo
    net.ipv4.icmp_echo_ignore_all = 1net.ipv4.icmp_echo_ignore_broadcasts = 1

    Lưu lại các thay đổi cấu hình trên bằng câu lệnh

    #sysct1 -p

 

Tin liên quan

27/03/2024

Viettel IDC lựa chọn chiến lược kép “Phát triển công nghệ số gắn liền chuyển đổi xanh bền vững”

Lựa chọn mục tiêu kép phát triển công nghệ số gắn liền chuyển đổi xanh bền vững được xem là chiến lược giúp thay đổi hoàn toàn cách mà doanh nghiệp vận hành trong tương lai.

01/03/2024

Viettel IDC hợp tác cùng Radware mở rộng thị trường giải pháp bảo mật tại Việt Nam

Trong khuôn khổ Triển lãm di động thế giới (Mobile World Congress - MWC) năm 2024 diễn ra tại Barcelona vào cuối tháng 2, Viettel IDC cùng Radware đã ký kết thỏa thuận hợp tác chiến lược nhằm nghiên cứu, phát triển, đẩy mạnh cung cấp các giải pháp bảo mật trên nền tảng đám mây tại Việt Nam và trong khu vực.

25/01/2024

Deep Web là gì? Có nên truy cập vào Deep Web không?

Trong thời đại CNTT phát triển như hiện nay, Deep Web là gì đang là chủ đề gây tò mò với không ít người dùng. Đây là một phần khác của Internet, không được public rộng rãi và là nơi diễn ra nhiều hoạt động với độ bảo mật thông tin cao.

05/02/2024

Viettel IDC đạt chứng chỉ ANSI/TIA-942-B:2017 Rated 3 Constructed Facilities, trong đó có một hạng mục đạt cấp cao nhất là Rated 4

Viettel IDC là đơn vị đầu tiên tại Việt Nam có hạng mục đạt Rated-4 (hạng mục Viễn thông) của chứng chỉ ANSI/TIA-942-B:2017 Constructed Facilities.

07/01/2024

XSS là gì? Cách kiểm tra và ngăn chặn các đợt tấn công XSS hiệu quả

XSS là gì? XSS (Cross-site Scripting) là một lỗ hổng bảo mật cho phép kẻ tấn công chèn mã độc hại vào các ứng dụng website.

03/01/2024

DNS là gì? Nguyên tắc và cách cấu hình DNS trong hệ thống

DNS là gì? Nguyên lý hoạt động cũng như chức năng DNS ra sao? Hãy cùng Viettel IDC tìm hiểu thông tin chi tiết trong bài viết bên dưới nhé.

23/09/2023

Dịch vụ Cloud Server - Sự lựa chọn hoàn hảo cho các doanh nghiệp startup

Với dịch vụ Cloud Server, doanh nghiệp có thể giảm chi phí hiệu quả, tận dụng tính linh hoạt để mở rộng tài nguyên khi cần, đồng thời đảm bảo độ bảo mật thông tin tối đa.

01/10/2023

Khám phá tiện ích và sự đa dạng của dịch vụ thuê máy chủ ảo tại Viettel IDC

Dịch vụ thuê máy chủ ảo tại Viettel IDC là giải pháp mang đến môi trường linh hoạt cho doanh nghiệp trong quá trình vận hành. Với nền tảng điện toán đám mây chất lượng, doanh nghiệp có thể dễ dàng tùy chỉnh tài nguyên máy chủ theo nhu cầu thực tế, giúp tối ưu hiệu suất làm việc.

05/10/2023

Cloud Computing và các mô hình dịch vụ phổ biến hiện nay

Điện toán đám mây (Cloud Computing) là mô hình công nghệ thông tin phát triển mạnh mẽ trong thời gian gần đây. Giải pháp này cho phép cá nhân, doanh nghiệp và tổ chức truy cập, sử dụng các tài nguyên máy tính, dịch vụ qua internet thay vì phải xây dựng và duy trì cơ sở hạ tầng riêng.

01/01/2024

Khám phá mô hình bảo mật Zero Trust và mối liên kết cùng trí tuệ nhân tạo AI

Triết lý an ninh mạng Zero Trust đặt ra nguyên tắc không có bất kỳ người dùng nào trong hoặc ngoài hệ thống mạng đủ tin tưởng mà không cần thông qua sự kiểm tra chặt chẽ về danh tính.

DMCA.com Protection Status
// doi link