25 cách tăng cường bảo mật cho một máy chủ Linux

14/06/2018

Hầu hết mọi người đều cho rằng hệ thống bảo mật của Linux đã được cài đặt sẵn và không cần phải thay đổi nhiều. Tuy nhiên, Linux có những mô hình bảo mật riêng cho các trường hợp khác nhau.Việc lựa chọn chế độ phù hợp có thể giúp tăng tính bảo mật cho toàn hệ thống. Linux có thể rất khó điều khiển, tuy nhiên nó lại có nhiều tùy chỉnh phù hợp và linh hoạt.

Việc bảo đảm an toàn cho một hệ thống khỏi những kẻ tấn công luôn là những nhiệm vụ đầy khó khăn đối với những quản trị viên. Trong bài viết này, chúng tôi sẽ giới thiệu 25 mẹo để có thể bảo vệ một server Linux hiệu quả hơn, hy vọng có thể giúp ích cho những người đã và đang sử dụng hệ điều hành này.

  1. Bảo vệ hệ thống vật lý
    Loại bỏ các nguy cơ bị boot hệ thống BIOS bằng CD/DVD, đĩa mềm và các thiết bị bên ngoài. Hãy đặt đặt mật khẩu cho BIOS và GRUB để ngăn chặn tất cả các kết nối giữa hệ thống với các thiết bị vật lý bên ngoài.
  2. Phân vùng ổ cứng
    Việc phân chia dữ liệu không chỉ khiến cho nó được sắp xếp hợp lý hơn, mà còn giúp các dữ liệu được bảo vệ tốt hơn trong trường hợp có sự cố không mong muốn xảy ra. Khi đó, chỉ có các dữ liệu trong những vùng xảy ra sự cố bị ảnh hưởng, không gây hại tới các gói dữ liệu khác. Một mô hình phân chia bạn có thể học theo, trong đó, các ứng dụng của bên thứ ba nên được cài vào file ‘/opt’
    //boot/usr /var /home/tmp/opt
  3. Bớt đi các gói dữ liệu không cần thiết, hạn chế lỗ hổng bảo mật
    Bạn có bao giờ sử dụng tất cả các gói dịch vụ? Theo chúng tôi, bạn nên bỏ đi những gói tin không cần thiết để tránh việc bị tấn công thông qua những lỗ hổng của gói đó. Hãy kiểm tra lại một lượt xem có những ứng dụng nào không cần đến và gỡ chúng đi. Sử dụng lệnh ‘chkconfig’ để tìm các dịch vụ đang được chạy ở mức độ 3
    # /sbin/chkconfig --list |grep '3:on'

    Một khi đã phát hiện ra những dịch vụ không cần thiết, loại bỏ chúng bằng câu lệnh

    # chkcongfig serviceName off

    Hoặc có thể sử dụng gói quản lý RPM ví dụ như “yum” hay “apt-get” để liệt kê tất cả các gói tin đã được cài đặt và loại bảo chúng bằng các câu lệnh sau

    #yum -y remove package-name# sudo apt-get remove package-name
  4. Kiểm tra các cổng kết nối mạng
    Với sự trợ giúp của cú pháp ‘netstat’ bạn có thể kiểm tra tất cả các cổng kết nối mở và các chương trình có liên kết ra bên ngoài. Và giống như ở trên, hãy sử dụng ‘chkcongfig’ để loại bỏ chúng
    # netstat -tulpn
  5. Sử dụng Secure Shell(SSH)
    Các giao thức  cũ như Telnet và rlogin chỉ sử dụng những text đơn giản để truyền tin, không có cơ chế mã hóa thông tin. SSH là giao thức an toàn hơn,vì nó sử dụng sẽ mã hóa thông tin trước khi truyền đi trong suốt quá trình giao tiếp giữa người dùng với server. Hãy mở file cấu hình chính của SSH và sử dụng những cú pháp sau để giới hạn đăng nhập của người dùng
    # vi /etc/ssh/sshd_config

    Loại bỏ Root Login

    PermitRootLogin no

    Chỉ chấp nhận một vài người dùng đặc biệt

    AllowUsers username

    Sử dụng giao thức SSH version 2

    Protocol 2
  6. Thường xuyên update hệ thống
    Luôn giữ hệ thống của bạn được cập nhật những bản vá,sửa lỗi và nâng cấp phần nhân hệ thống ngay khi có thể.
     # yum update
     # yum check-update
  7. Khóa Cronjobs
    Cron có những khả năng tự làm việc, tuy nhiên nó cũng cho phép người dùng tự điều khiển nếu như họ muốn. Có thể điều khiển thông qua các file có địa chỉ ‘/etc/cron.allow’ và ‘etc/cron.deny’. Thêm tên của một người sử dụng vào cron.deny nếu như không muốn họ chỉnh sửa cron, hoặc thêm vào cron.allow nếu cho phép họ sử dụng cron. Nếu như muốn tất cả những người sử dụng không thể sử  dụng cron, thêm dòng lệnh ALL vào file ‘cron.deny’
     # echo ALL >>/etc/cron.deny
  8. Tắt USB stick.
    Đã từng rất nhiều lần xảy ra chuyện chúng ta muốn hạn chế người sử dụng kết nối với hệ thống bằng USB để tránh tình trạng đánh cắp thông tin. Hãy tạo một file ‘/etc/modprobe.d/no-usb’ và thêm những dòng sau để hệ thống không nhận các thiết bị USB nữa
    install usb-storage /bin/true
  9. Sử dụng SELinux
    Hệ thống bảo mật nâng cao(SELinux) là một cơ chế bảo mật cung cấp ở vùng nhân. Tắt nó đi đồng nghĩa với việc loại bỏ cơ chế bảo vệ ra khỏi hệ thống. Hãy suy nghĩ thật kĩ mỗi khi muốn tắt nó, đặc biệt nếu hệ thống của bạn cần kết nối internet và có chế độ truy cập là công khai.
    SELinux có ba chế độ điều khiển sau:
    Enforcing: Chế độ thông thường, kích hoạt SELinux và để nó toàn quyền hoạt động tự do
    Permissive: Trong chế độ này, SELinux sẽ phải gửi những báo cáo cũng như cảnh báo cho người dùng trước mỗi hoạt động. Chế độ này vô cùng hữu ích trong trường hợp chuẩn đoán và xử lý nếu có sự cố xảy ra.
    Disable:tắt SELinux
  10. Loại bỏ các màn hình kiểu KDE và GNOME
    Rõ ràng là không cần thiết phải sử dụng các màn hình Window như là KDE hay GNOME cho server của bạn. Bạn có thể tắt hoặc gỡ nó đi để tăng cường bảo mật cho server. Để tắt nó , hãy mở file ‘etc/initab’ và đặt  chạy ở mức độ 3. Còn nếu muốn loại bỏ hoàn toàn khỏi hệ thống, hãy sử dụng câu lệnh sau:
    # yum groupmove "X Window System"
  11. Tắt IPv6
    Nếu như bạn không sử dụng IPv6, hãy tắt nó đi bởi vì phần lớn các ứng dụng không đòi hỏi giao thức này và hiện tại, nó cũng không cần thiết cho server nữa. Hãy vào file cấu hình mạng, thêm dòng lệnh sau để loại bỏ IPv6# vi /etc/sysconfig/network
    NETWORKING_IPV6=noIPV6INIT=no
  12. Hạn chế sử dụng lại các mật khẩu cũ
    Sẽ cực kỳ hữu ích nếu như bạn ngăn chặn việc những người sử dụng đặt lại một trong những mật khẩu cũ của họ. Các mật khẩu sẽ được lưu trữ tại /etc/pam.d/system-auth, file này chỉ có thể truy cập trong chế độ PAM.
    Mở file ‘etc/pam.d/system-auth’ trong RHEL/CentOS/Fedora.
    # vi /etc/pam.d/system-auth

    Thêm dòng lệnh sau vào mục ‘auth’

    auth        sufficient      pam_unix.so likeauth nullok

    Mờ file ‘etc/pam.d/common-password’ trong Ubuntu/Debian/Linux Mint

    # vi /etc/pam.d/common-password

    Thêm dòng lệnh sau vào mục ‘password’ để ngăn người dùng sử dụng lại 1 trong 5 password gần nhất của họ

    password    sufficient      pam_unix.so nullok use_authtok md5 shadow remember=5

    Nếu như người dùng muốn sử dụng lại bất kỳ mật khẩu nào trong số 5 cái mới nhất, họ sẽ nhận được một dòng cảnh báo

    Password has been already used. Choose another.
  13. Làm thế nào để kiểm tra thời gian sử dụng một password của người sử dụng
    Trong Linux, mật khẩu  người dùng được lưu trữ trong file ‘/etc/shadow’ dưới dạng mã hóa. Để kiểm tra thời gian sử dụng password của người sử dụng, bạn sẽ cần sử dụng câu lệnh ‘chage’. Nó sẽ  hiển thị lên các thông tin về thời hạn của một mật khẩu theo số liệu về thời gian thay đổi gần nhất. Những thông tin này được hệ thống sử dụng để quyết định khi nào người sử dụng cần thay đổi mật khẩu của họ
    #chage -l username

    Để thay đổi giới hạn cho một password, sử dụng câu lệnh

    #chage -M 60 username#chage -M 60 -m 7 -W 7 username

    Với -M:Số ngày tồn tại tối đa của mật khẩu
    -m:số ngày tối thiểu
    -W:Số ngày để đưa ra cảnh báo

  14. Khóa và mở một tài khoản theo cách thủ công
    Việc khóa và mở khóa rất hữu dụng, thay vì phải loại bỏ hẳn một tài khoản ra khỏi hệ thống, bạn chỉ cần khóa tài khoản đó lại trong vòng 1 tuần hoặc một tháng. Để khóa một tài khoản mà bạn muốn, sử dụng cú pháp sau
     # paswd -l accountName

    Lưu ý: Việc khóa thực chất chỉ là thay mật khẩu đã được mã hóa với một sâu kí tự khác. Nếu ai đó muốn truy cập bằng tài khoản này, nó sẽ hiện ra thông báo

     # su - accountName
     This account is currently not available.

    Để mở khóa và cho phép một mật khẩu bị khóa có thể truy cập lại, sử dụng câu lệnh dưới đây, nó sẽ lại thay thế chuỗi ký tự với mật khẩu được mã hóa

     passwd -u accountName
  15. Khuyến khích sử dụng những mật khẩu mạnh hơn
    Một số lượng lớn người sử dụng chỉ đặt cho mình những mật khẩu yếu và dễ bị hack. ‘pam_cracklib’ trong chế độ PAM sẽ buộc người dùng phải sử dụng cho mình những mật khẩu mạnh và an toàn hơn. Hãy thêm những dòng sau bằng một trình biên soạn.
     # vi etc/pam.d/system-auth

    và thêm dòng sau(lcredit,ucredit, dcredit hay ocredit tương ứng với chữ thường, chữ hoa, chữ số và các kí tự khác)

     /lib/security/$ÍA/pam_cracklist.so retry = 3 minlen=8 lcredit =-1 ucredit=-2 dcredit=-2 ocredit=-1
  16. Sử dụng Iptable(tường lửa)
    Một điều được khuyến khích đó là bật chế độ tường lửa của Linux để kiểm soát những truy cập trái phép vào trong server của bạn. Hãy dùng iptable để có thể kiểm tra những gói tin đến, đi hoặc chuyển tiếp. Chúng ta hoàn toàn có thể xem xét địa chỉ nguồn và đích đến để có quyết định chấp nhận gói tin hay không
  17. Loại bỏ tổ hợp Ctrl+Alt+Delete
    Trong hệ điều hành Linux, ấn tổ hợp phím ‘CTRL+ALT+DELETE’ sẽ bắt đầu quá trình reboot hệ thống. Rõ ràng đây không phải và một ý hay, giả sử nếu như có một ai đó lỡ tay ấn nhầm.
    Tổ hợp phím được định nghĩa trong file’/etc/inttab’ . Thông thường các dòng lệnh sẽ bị ẩn đi, vì thế chúng ta cần làm nó hiện ra trước.
    # Trap CTRL-ALT-DELETE
    #ca::ctrlaltdel:/sbin/shutdown -t3 -r now
  18. Kiểm tra các tài khoản không có password
    Bất kể tài khoản nào mà không có mật khẩu đồng nghĩa với việc nó đang mở ra một lối truy cập trái phép cho bất kỳ ai. Vì thế bạn nên chắc chắn rằng tất cả các tài khoản đều sử dụng một mật khẩu mạnh và không ai có thể truy cập  một cách trái phép được. Các tài khoản không có mật khẩu là một đe dọa về bảo mật. Để kiểm tra các tài khoản này sử dụng câu lệnh sau
    #cat /etc/shadow |awk -F: '($2==""){print $1}'
  19. Hiển thị những tiêu đề cảnh báo SSH trước khi đăng nhập
    Sẽ là rất tốt nếu như bạn luôn đưa ra những tiêu đề về cảnh báo bảo mật SSH mỗi khi có người dùng đăng nhập.
  20. Giám sát các hành vi của người dùng.
    Nếu có quá  nhiều người sử dụng server của bạn, việc thu thập và phân tích các thông tin về mỗi hành vi của họ là vô cùng quan trọng. Tuy nhiên, làm thế nào để có thể thực hiện được việc này?
    Có hai công cụ vô cùng hữu ích cho chúng ta đó là ‘psacct’ và ‘acct’, giúp chúng ta quản lý mọi hành vi của những người sử dụng và các tiến trình diễn ra trong hệ thống.
    Những công cụ này chạy ngầm trong hệ thống và ghi lại từng hành vi của người sử dụng, cũng như theo dõi việc sử dụng tài nguyên cho các dịch vụ, ví dụ như Apache, MySQL, SSH, FTP…
  21. Kiểm tra, đánh giá các hoạt động một cách thường xuyên.
    Hãy di chuyển các hoạt động vào log server, điều này tránh việc những kẻ tấn công có thể xâm nhập vào và chỉnh sửa các hoạt động hệ thống. Thông thường, các file lưu trữ các hoạt động được đặt tại địa chỉ ‘/var/log’.
  22. Xây dựng file Backup
    Trong mọi hệ thống, luôn cần có một tệp tin làm nhiệm vụ sao lưu và phục hồi lại mỗi khi có sự cố xảy ra.
  23. Kết nối NIC
    Có hai loại kết nối NIC sau
    mode=0 Round Robin
    mode=1 kích hoạt và backup
    Khi xây dựng kết nối, chúng ta “kéo” hai hoặc nhiều hơn những kết nối lại với nhau và dùng một trường kết nối ảo để sử dụng IP giao tiếp với các server khác, Nếu có một thẻ NIC bị tạm ngừng hoặc không thể sử dụng được, thì các hoạt động vẫn diễn ra bình thường.
  24. Đặt địa chỉ /boot ở chế độ read-only
    Lõi Linux và những phần tử có liên quan đều nằm trong địa chỉ /boot vơi chế độ mặc định read-write. Chuyển về chế đọ read-only sẽ giảm thiểu các nguy cơ bị chỉnh sửa từ bên ngoài hoặc gây ra các lỗi với file boot. Để làm điều này, mở file ‘/etc/ftad’
     # vi /etc/fstad

    Và thêm dòng lệnh sau vào cuối, lưu rồi đóng file lại

     LABEL=/boot     /boot     evt2    default

    Lưu ý rằng, nếu bạn muốn nâng cấp nhân hệ thống bạn cần phải đặt lại về chế độ read-write

  25. Bỏ qua ICMP hoặc các yêu cầu quảng cáo
    Thêm dòng sau vào “/etc/sysctl.conf” để bỏ qua các yêu cầu ping hay quảng cáo
    net.ipv4.icmp_echo_ignore_all = 1net.ipv4.icmp_echo_ignore_broadcasts = 1

    Lưu lại các thay đổi cấu hình trên bằng câu lệnh

    #sysct1 -p

 

Tin liên quan

30/11/2019

Ưu, nhược điểm của dịch vụ VPS là gì? Nhóm khách hàng nào nên sử dụng VPS?

Dịch vụ VPS – Virtual Private Server được tạo thành từ phương pháp phân chia một máy chủ vật lý thành nhiều máy chủ ảo dựa trên công nghệ ảo hóa. Một VPS có vai trò tương đương với đầy đủ các chức năng quản trị và cấu hình như một máy chủ vật lý, nên sẽ có những nhóm đối tượng khách hàng cụ thể nên sử dụng dịch vụ VPS.

29/11/2019

Tại sao doanh nghiệp nên chuyển từ VPS sang thuê Cloud Server để sử dụng?

Bài viết sau sẽ đi sâu vào nghiên cứu lý do tại sao Cloud Server đang trở thành lựa chọn nền tảng tối ưu hơn VPS, qua đó doanh nghiệp sẽ có được cái nhìn bao quát hơn trước khi dịch chuyển lên đám mây.

29/11/2019

Giải đáp các câu hỏi thường gặp của khách hàng khi thuê Cloud Server

Thuê Cloud Server là việc thuê máy chủ ảo được khởi tạo từ một hạ tầng ảo hoá có năng lực xử lý và bảo mật cao. Hạ tầng này gồm nhiều server vật lý liên kết với nhau, mỗi server (hoặc nhóm server) đóng một chức năng riêng biệt: tính toán, lưu trữ, tường lửa, cân bằng tải, dự phòng, sao lưu dữ liệu,…

28/11/2019

5 yếu tố cần lưu ý giúp bạn mua được VPS giá rẻ với chất lượng tốt

Hiện tại, có nhiều giải pháp lưu trữ như hosting, VPS, máy chủ riêng,… Với shared hosting, website sẽ không đảm bảo hiệu suất khi phải chia sẻ tài nguyên máy chủ với người dùng khác. Trong khi đó, sẽ rất tốn kém tài nguyên nếu bạn mua cả một server riêng nhưng không dùng hết. VPS giá rẻ sẽ giúp chúng ta giải quyết vấn đề này.

27/11/2019

Tìm hiểu những điểm khác nhau nổi trội giữa dịch vụ VPS và Cloud Server

Khi bắt đầu vào hành trình tạo ra trang web của riêng mình, bạn sẽ phải đối mặt với rất nhiều lựa chọn và quyết định. Mỗi quyết định và lựa chọn này sẽ tạo ra sự khác biệt trong hiệu suất và thành công của trang web. Khi này có thể bạn sẽ phải băn khoăn nên lựa chọn sử dụng cloud hay virtual private server (VPS) làm nền tảng cho website?

27/11/2019

Những tiêu chí cốt lõi cần phải đánh giá khi thuê Cloud Server

Hiện nay, hầu hết các doanh nghiệp đều nhận thức được những ưu điểm có được từ việc sử dụng Cloud Server máy chủ ảo so với hạ tầng công nghệ thông tin truyền thống. Khi chuyển đổi sang Cloud, doanh nghiệp sẽ hưởng lợi trong việc tiết kiệm chi phí, linh hoạt trong triển khai, thay đổi, đơn giản hóa việc quản lý IT.

26/11/2019

Dịch vụ VPS - Ứng dụng thực tế và cách thức quản trị VPS hiệu quả

Dịch vụ máy chủ ảo VPS là gì, có những ứng dụng thực tế nào và đâu là cách thức quản lý VPS tốt nhất là những thắc mắc thường được đặt ra đối với người mới bắt đầu sử dụng dịch vụ này. Cùng tháo gỡ những khúc mắc trong bài viết này nhé!

26/11/2019

Doanh nghiệp nên ứng dụng dịch vụ VPS vào những mục đích nào?

Dịch vụ VPS là gì và cách sử dụng như thế nào? Mọi thông tin chi tiết về dịch vụ VPS sẽ đều được Viettel IDC hướng dẫn chi tiết cách dùng trong bài viết này. Hãy cùng xem ngay nhé.

25/11/2019

5 lý do chứng minh hiệu quả vượt trội của Cloud VPS so với VPS truyền thống

Không ít khách hàng mặc dù đang sử dụng VPS nhưng đã biết đến Cloud VPS và đang có ý định chuyển từ VPS lên Cloud VPS. Bài viết dưới đây sẽ chỉ ra 5 lý do vì sao Cloud VPS lại tốt hơn VPS truyền thống

23/11/2019

Vì sao sử dụng Cloud VPS của Viettel IDC là lựa chọn đáng tin cậy nhất?

Cloud VPS là một giải pháp lưu trữ web vô cùng tối ưu giúp máy chủ web có thể uptime 99,99% thời gian hoạt động với hệ thống dự phòng đầy đủ và khả năng mở rộng cao.