Cách bảo mật VPS Linux – 10 bước quan trọng nhất

VPS mới được cài đặt thường có cấu hình mặc định không an toàn. Nếu không bảo mật đúng cách, VPS của bạn có thể bị tấn công trong vài giờ sau khi online. Bài viết này hướng dẫn 10 bước bảo mật VPS Linux quan trọng nhất.

Bước 1: Đổi port SSH mặc định

Port SSH mặc định là 22 — đây là port đầu tiên hacker quét. Đổi sang port khác (ví dụ 2222 hoặc 22222) để giảm đáng kể số lượng brute force attack:

sudo nano /etc/ssh/sshd_config
# Thay đổi: Port 22 thành Port 2222
sudo systemctl restart sshd

Bước 2: Sử dụng SSH Key thay vì mật khẩu

SSH key an toàn hơn mật khẩu nhiều lần. Tạo SSH key pair trên máy tính của bạn và upload public key lên VPS:

ssh-keygen -t ed25519 -C "your_email@example.com"
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@your_vps_ip

Sau đó tắt đăng nhập bằng mật khẩu trong sshd_config: PasswordAuthentication no

Bước 3: Cấu hình Firewall (UFW)

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 2222/tcp  # SSH port mới
sudo ufw allow 80/tcp    # HTTP
sudo ufw allow 443/tcp   # HTTPS
sudo ufw enable

Bước 4: Cài đặt Fail2ban

Fail2ban tự động block IP sau nhiều lần đăng nhập thất bại:

sudo apt install fail2ban -y
sudo systemctl enable fail2ban

Bước 5: Cập nhật hệ thống thường xuyên

sudo apt update && sudo apt upgrade -y
# Cài đặt unattended-upgrades để tự động cập nhật bảo mật
sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure unattended-upgrades

Bước 6: Tắt các dịch vụ không cần thiết

Mỗi dịch vụ đang chạy là một attack surface tiềm năng. Tắt những gì không cần:

sudo systemctl list-units --type=service --state=running
sudo systemctl disable service_name
sudo systemctl stop service_name

Bước 7: Cài đặt và cấu hình ModSecurity (WAF)

Web Application Firewall bảo vệ ứng dụng web khỏi các tấn công phổ biến như SQL injection, XSS:

sudo apt install libapache2-mod-security2 -y
sudo a2enmod security2

Bước 8: Giám sát log

Theo dõi log để phát hiện hoạt động bất thường:

• /var/log/auth.log — SSH login attempts
• /var/log/syslog — System events
• /var/log/nginx/access.log — Web access

Cài Logwatch để nhận báo cáo log hàng ngày qua email.

Bước 9: Backup định kỳ

Backup là lớp bảo vệ cuối cùng. Thiết lập backup tự động hàng ngày và lưu offsite.

Bước 10: Scan malware định kỳ

sudo apt install rkhunter chkrootkit -y
sudo rkhunter --check
sudo chkrootkit

Kết luận

Bảo mật VPS là quá trình liên tục, không phải việc làm một lần. Thực hiện 10 bước trên ngay sau khi cài VPS mới và duy trì thói quen cập nhật và giám sát thường xuyên.

VMST Host cung cấp VPS với hạ tầng bảo mật cao. Xem các gói VPS tại vmst.host.