Bảo Mật VPS Linux: Hướng Dẫn Toàn Diện

SSH là cổng vào chính của server. Bảo mật SSH là bước đầu tiên và quan trọng nhất. Chỉnh sửa file cấu hình:

nano /etc/ssh/sshd_config

Thay đổi các dòng sau:

# Đổi port mặc định (22) sang port khác
Port 2222

# Tắt đăng nhập root bằng password
PermitRootLogin prohibit-password

# Chỉ cho phép xác thực bằng SSH key
PasswordAuthentication no
PubkeyAuthentication yes

# Giới hạn số lần thử đăng nhập
MaxAuthTries 3
LoginGraceTime 20

Reload SSH: systemctl restart sshd

Tạo SSH key pair trên máy local và copy public key lên server trước khi tắt password auth.

Fail2ban tự động block IP có hành vi đáng ngờ (brute force, quá nhiều lần thử đăng nhập):

apt install -y fail2ban
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
nano /etc/fail2ban/jail.local

Cấu hình cơ bản:

[DEFAULT]
bantime = 3600
findtime = 600
maxretry = 3

[sshd]
enabled = true
port = 2222
logpath = /var/log/auth.log

Khởi động Fail2ban:

systemctl enable fail2ban
systemctl start fail2ban

Kiểm tra các IP đang bị ban: fail2ban-client status sshd

Cập nhật hệ thống thường xuyên là biện pháp bảo mật đơn giản nhưng hiệu quả nhất. Cài đặt unattended-upgrades:

apt install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

Cấu hình trong /etc/apt/apt.conf.d/50unattended-upgrades:

Unattended-Upgrade::Automatic-Reboot "false";
Unattended-Upgrade::Mail "[email protected]";
Unattended-Upgrade::Remove-Unused-Dependencies "true";

Loại bỏ software không cần thiết để giảm bề mặt tấn công:

apt autoremove --purge
apt list --installed | grep -v "lib"

Cài đặt Lynis để audit bảo mật định kỳ:

apt install -y lynis
lynis audit system

Cài đặt rkhunter để kiểm tra rootkit:

apt install -y rkhunter
rkhunter --update
rkhunter --check

Theo dõi log đăng nhập thất bại:

grep "Failed password" /var/log/auth.log | tail -20
last -f /var/log/wtmp | head -20

Thiết lập cảnh báo qua email khi có đăng nhập thành công từ IP lạ bằng cách thêm vào /etc/profile:

echo "Alert: SSH login from $(who am i | awk '{print $5}')" | mail -s "SSH Login Alert" [email protected]