Bắt đầu với quyền truy cập đã xác minh và một đường phục hồi, sau đó cấu hình quản trị riêng lẻ, khóa SSH đã kiểm thử, tường lửa hạn chế, phần mềm được duy trì và bản sao lưu độc lập. Áp dụng thay đổi từng bước và xác minh một phiên mới trước khi đóng phiên cũ.
Thiết lập một điểm khởi đầu đáng tin cậy
Trước khi thay đổi máy, hãy xác nhận hệ điều hành dự kiến, phương thức truy cập và đường phục hồi. Xác minh danh tính máy chủ SSH thông qua thông tin đã được nhà vận hành phê duyệt thay vì chấp nhận một khóa bất ngờ mà không điều tra. Giữ thông tin đăng nhập tạm thời ở chế độ riêng tư và thay thế chúng thông qua quy trình dự định. Ghi lại ai chịu trách nhiệm bảo trì và những tùy chọn phục hồi nào thực sự khả dụng cho dịch vụ này.
Giữ một phiên quản trị đang hoạt động trong khi thực hiện thay đổi quyền truy cập. Một công thức tăng cường bảo mật được sao chép có thể xóa lần đăng nhập khả dụng duy nhất khi nó giả định một bản phân phối hoặc bố cục tài khoản khác. Thực hiện từng thay đổi một, kiểm tra kết quả thực tế và giữ một đường quay lại. Mục tiêu là một hệ thống bạn có thể duy trì an toàn, không phải một cấu hình trông nghiêm ngặt nhưng không thể quản trị.
Làm cho quyền truy cập SSH có chủ đích
Tạo quyền truy cập quản trị riêng với đặc quyền phù hợp thay vì chia sẻ một đăng nhập root cố định. Cài đặt và kiểm tra khóa công khai dự định, giữ khóa riêng tư trên điểm cuối được ủy quyền. Tài liệu Ubuntu OpenSSH giải thích cấu hình máy chủ và các lựa chọn xác thực. Đọc cấu hình hiệu lực cho bản phân phối của bạn, bao gồm các tệp được bao gồm, trước khi cho rằng việc chỉnh sửa một cài đặt đã thay đổi toàn bộ dịch vụ.
Kiểm tra quyền truy cập bằng khóa qua một phiên thứ hai trước khi thay đổi xác thực mật khẩu hoặc quy tắc đăng nhập đặc quyền. Đảm bảo tài khoản mới có thể thực hiện công việc quản trị cần thiết. Xem xét mọi tự động hóa phụ thuộc vào phương thức trước đó và thay thế quyền truy cập của nó một cách có chủ đích. Khóa là thông tin xác thực truy cập, vì vậy hãy sử dụng vị trí lưu trữ riêng tư và quy trình luân chuyển thay vì để bản sao trong thư mục ứng dụng.
Phơi bày ứng dụng, không phải toàn bộ máy
Kiểm kê các dịch vụ đang lắng nghe và xác định dịch vụ nào phải công khai. Một ứng dụng web có thể cần HTTP và HTTPS, trong khi cơ sở dữ liệu của nó có thể chỉ được truy cập qua đường dẫn nội bộ dự định. Ubuntu ghi lại UFW như một công cụ cấu hình tường lửa, nhưng chính sách hữu ích không phụ thuộc vào công cụ: cho phép lưu lượng cần thiết và hạn chế quản trị cho các nguồn được phê duyệt khi thực tế.
Kiểm tra cả kiểm soát cấp máy chủ và cấp nhà cung cấp nếu dịch vụ bao gồm chúng. Trước khi bật một bộ quy tắc hạn chế, hãy cho phép đường dẫn quản trị đã kiểm tra và xác minh quyền truy cập từ một phiên khác. Đừng cho rằng việc chuyển SSH sang một cổng khác sẽ thay thế xác thực hoặc vá lỗi. Giữ các quy tắc tường lửa dễ hiểu để việc khắc phục sự cố sau này không dẫn đến việc mở mọi cổng như một cách xử lý tạm thời.
| Thay đổi | Kiểm tra trước khi áp dụng | Kiểm tra sau đó |
|---|---|---|
| Khóa SSH mới | Tài khoản và khóa công khai chính xác | Phiên thứ hai xác thực bằng khóa hoạt động |
| Tường lửa hạn chế | Dịch vụ cần thiết và đường dẫn khôi phục | Ứng dụng công khai hoạt động; các cổng không mong muốn đã đóng |
| Cập nhật phần mềm | Tác động đến sao lưu và khởi động lại | Dịch vụ khởi động lại và kiểm tra ứng dụng đạt |
| Thay đổi quyền dịch vụ | Đường dẫn đọc và ghi cần thiết | Ứng dụng hoạt động mà không cần quyền truy cập hệ thống rộng hơn |
Lập kế hoạch cập nhật như một quy trình vận hành
Giữ hệ thống và các phụ thuộc ứng dụng được bảo trì. Hướng dẫn cập nhật tự động của Ubuntu mô tả nâng cấp không giám sát, nguồn được phép và hành vi khởi động lại. Kho lưu trữ của bên thứ ba không tự động được bao phủ chỉ vì nó đã được thêm vào máy. Xem xét quy trình cập nhật được cấu hình thực sự bao gồm những gì, và cấp cho các ứng dụng được cài đặt riêng một lộ trình bảo trì riêng.
Quyết định cách xử lý khởi động lại dịch vụ và khởi động lại máy. Áp dụng cập nhật gói không phải lúc nào cũng có nghĩa là mọi tiến trình đang chạy đều đang dùng mã mới. Sử dụng cửa sổ bảo trì khi khối lượng công việc yêu cầu, và thực hiện kiểm tra ứng dụng đơn giản sau đó. Nếu một gói cần các bước di chuyển thủ công, hãy ghi lại chúng thay vì vô hiệu hóa mọi cập nhật vô thời hạn và quên đi rủi ro phơi nhiễm phát sinh.
Hạn chế quyền truy cập ứng dụng và bảo vệ phục hồi
Chạy dịch vụ với các quyền chúng cần, và tách nội dung công khai khỏi bí mật và siêu dữ liệu triển khai. Một tiến trình web không nên có khả năng ghi lại mọi cài đặt hệ thống. Giữ bí mật môi trường bên ngoài các thư mục được phục vụ công khai và tránh đưa chúng vào nhật ký, xuất hỗ trợ hoặc sao lưu chung mà không có chính sách bảo vệ có chủ đích. Xóa các gói và dịch vụ không dùng khi chúng không có mục đích vận hành.
Duy trì bản sao lưu độc lập và kiểm tra khôi phục ứng dụng vào một môi trường biệt lập. Hạn chế thông tin xác thực sao lưu để một ứng dụng bị xâm phạm không thể tự động xóa mọi bản sao khôi phục. Giám sát dung lượng đĩa, tuổi bản sao lưu và lỗi dịch vụ. Ghi nhật ký nên trả lời các câu hỏi vận hành đã xác định, với quyền truy cập và thời gian lưu được kiểm soát; nó không nên trở thành bản sao không giới hạn của các yêu cầu nhạy cảm.
Một trình tự triển khai lần đầu vẫn có thể xem xét được
Đối với một VPS mới, trước tiên hãy xác minh quyền truy cập và khôi phục, sau đó thiết lập tài khoản quản trị và khóa đã kiểm tra. Cấu hình tường lửa, áp dụng cập nhật và triển khai ứng dụng dưới tài khoản dịch vụ dự định. Xác nhận hành vi công khai từ một môi trường khác, kiểm tra rằng các tệp riêng tư không thể bị truy xuất và thực hiện khôi phục sao lưu. Ghi chú về từng quyết định và đường dẫn để đảo ngược thay đổi quyền truy cập.
Vector VPS, Pulse NVMe và các gói chuyên dụng được chọn trình bày các lựa chọn Linux trong danh mục SwissOctet. Xác nhận hình ảnh đã chọn và phân chia công việc bảo trì trước khi đặt hàng. Không có tên hình ảnh Linux nào chứng minh rằng việc tăng cường bảo mật, cập nhật hoặc sao lưu đã được quản lý. Đường cơ sở là tập hợp các kiểm soát bạn cấu hình, xác minh và tiếp tục duy trì khi dự án thay đổi.
Danh sách kiểm tra thực tế của bạn.
- Xác minh danh tính máy chủ SSH và lộ trình khôi phục.
- Kiểm tra quyền truy cập bằng khóa riêng trong một phiên thứ hai.
- Hạn chế các dịch vụ đang lắng nghe và quy tắc tường lửa.
- Xem xét phạm vi cập nhật và hành vi khởi động lại.
- Tách bí mật khỏi tệp công khai và quyền dịch vụ.
- Kiểm tra một bản sao khôi phục độc lập.
Những chi tiết quan trọng.
Tôi có nên vô hiệu hóa đăng nhập bằng mật khẩu ngay lập tức không?+
Trước tiên hãy thiết lập và kiểm tra quyền truy cập bằng khóa thay thế và lộ trình khôi phục. Sau đó thay đổi xác thực theo cấu hình được hỗ trợ của bạn.
Việc thay đổi cổng SSH có thay thế việc tăng cường bảo mật không?+
Không. Nó không thay thế xác thực mạnh, quyền truy cập hạn chế, cập nhật hoặc đặc quyền tài khoản phù hợp.
Cập nhật tự động có đủ cho mọi ứng dụng không?+
Không. Kiểm tra các kho lưu trữ được phép, yêu cầu khởi động lại và phần mềm được cài đặt ngoài quy trình cập nhật của hệ thống.
Đến nguồn.
Các tài liệu tham khảo này hỗ trợ các khái niệm kỹ thuật trong hướng dẫn này. Hãy theo dõi tài liệu hiện hành trước khi thay đổi hệ thống sản xuất.
- Ubuntu Server: Máy chủ OpenSSH ubuntu.com
- Ubuntu Server: Tường lửa ubuntu.com
- Ubuntu Server: Cập nhật tự động ubuntu.com
Hướng dẫn biên tập bởi SwissOctet. Các ví dụ chỉ mang tính minh họa. Thông số dịch vụ, tùy chọn có sẵn và điều kiện hợp đồng phải được xác minh riêng.