Checklist bảo mật Ubuntu Server sau khi cài đặt

Cài đặt xong hệ điều hành mới chỉ là điểm bắt đầu. Một Ubuntu Server an toàn cần được cấu hình theo workload, bề mặt mạng, dữ liệu và khả năng vận hành của tổ chức. Hardening luôn có đánh đổi; thay đổi quá mạnh mà không kiểm thử có thể tự khóa quyền quản trị hoặc làm ứng dụng ngừng hoạt động.

Thực hiện qua console hoặc giữ một phiên SSH dự phòng khi thay đổi SSH/firewall. Kiểm tra đăng nhập ở phiên mới trước khi đóng phiên quản trị hiện tại.

1. Cập nhật hệ thống và xác định vòng đời hỗ trợ

sudo apt update
sudo apt full-upgrade
sudo reboot

Ưu tiên bản Ubuntu LTS còn được hỗ trợ. Theo dõi thông báo reboot, cập nhật kernel và security notices. Không thêm repository bên thứ ba nếu chưa đánh giá nguồn, khóa ký và nhu cầu duy trì.

2. Tạo tài khoản quản trị riêng

sudo adduser deploy
sudo usermod -aG sudo deploy
id deploy

Ubuntu mặc định vô hiệu hóa đăng nhập trực tiếp bằng mật khẩu root và dùng sudo để nâng quyền có kiểm soát. Mỗi quản trị viên nên có tài khoản riêng để audit rõ ràng.

3. Dùng SSH key và kiểm tra trước khi tắt mật khẩu

ssh-keygen -t ed25519
ssh-copy-id deploy@server
ssh deploy@server

Sau khi xác nhận key hoạt động, tạo drop-in cấu hình phù hợp trong /etc/ssh/sshd_config.d/:

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes

sudo sshd -t
sudo systemctl reload ssh

Chỉ tắt mật khẩu khi tất cả quản trị viên có key và có phương án console/recovery. Bảo vệ private key bằng passphrase và chính sách thiết bị.

4. Chỉ mở port cần thiết bằng firewall

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

Điều chỉnh theo workload. Database nội bộ thường không nên mở ra Internet; hãy giới hạn source network hoặc dùng private network/VPN.

5. Giảm bề mặt tấn công

systemctl list-unit-files --state=enabled
ss -lntup
sudo apt autoremove

Vô hiệu hóa dịch vụ không dùng, gỡ package không cần và xác minh từng port lắng nghe có owner rõ ràng. Không dừng service chỉ vì tên lạ; cần hiểu dependency trước.

6. Bật cập nhật bảo mật tự động có giám sát

sudo apt install unattended-upgrades
sudo dpkg-reconfigure unattended-upgrades

Tự động cập nhật giúp giảm thời gian phơi nhiễm nhưng vẫn cần theo dõi lỗi, yêu cầu reboot và kiểm thử trên môi trường staging với hệ thống quan trọng.

7. Giữ AppArmor hoạt động

sudo aa-status
systemctl status apparmor

AppArmor giới hạn hành vi của ứng dụng bằng profile. Khi gặp lỗi, đọc log và sửa profile theo nhu cầu thực tế thay vì tắt toàn bộ lớp bảo vệ.

8. Bảo vệ file, secret và dữ liệu

• Dùng quyền tối thiểu cho file cấu hình và private key.
• Không lưu secret trong repository hoặc command history.
• Mã hóa dữ liệu nhạy cảm và backup.
• Tách tài khoản chạy ứng dụng khỏi tài khoản quản trị.
• Đặt owner/group rõ ràng cho thư mục upload, log và cache.

9. Thiết lập log, thời gian và giám sát

timedatectl status
journalctl -p warning..alert -b
last
lastb

Đồng bộ thời gian là điều kiện để điều tra log chính xác. Theo dõi đăng nhập thất bại, thay đổi tài khoản, service lỗi, dung lượng đĩa, tải hệ thống và certificate sắp hết hạn. Với hệ thống quan trọng, chuyển log sang nơi lưu trữ tách biệt.

10. Backup và diễn tập khôi phục

Backup phải bao gồm dữ liệu, cấu hình, khóa cần thiết và hướng dẫn phục hồi. Giữ ít nhất một bản tách khỏi credential production, kiểm tra checksum và khôi phục thử định kỳ.

11. Kiểm tra lại sau hardening

• Đăng nhập được bằng tài khoản/key dự kiến.
• Chỉ port cần thiết có thể truy cập từ đúng mạng.
• Ứng dụng, cron, queue và backup vẫn hoạt động.
• Update, log rotation, cảnh báo và reboot được kiểm soát.
• Có tài liệu thay đổi và đường rollback.

Hardening là một quá trình

Checklist ban đầu không thay thế quản lý lỗ hổng, review định kỳ và ứng phó sự cố. Hãy xác định baseline phù hợp, tự động kiểm tra cấu hình và cập nhật nó khi workload hoặc mối đe dọa thay đổi.

Nguồn tham khảo

• Ubuntu Server: Security
• Ubuntu Server: User management
• Ubuntu Security documentation