Quy trình hardening máy chủ thực tế: từ quyền truy cập đến kiểm chứng

1. Lập danh mục

• Xác định dịch vụ, cổng, tài khoản và dữ liệu nhạy cảm.
• Phân loại máy chủ theo mức độ quan trọng.
• Ghi nhận chủ sở hữu hệ thống và quy trình thay đổi.

2. Kiểm soát quyền

• Áp dụng least privilege.
• Tách tài khoản quản trị, tài khoản ứng dụng và tài khoản deploy.
• Tránh quyền ghi rộng lên toàn bộ mã nguồn.
• Rà soát SSH/RDP, MFA nếu được hỗ trợ và quy trình thu hồi quyền.

3. Bảo vệ secret

• Không lưu credential trong webroot hoặc repository.
• Giới hạn quyền đọc file cấu hình.
• Xoay vòng secret khi có nghi ngờ bị lộ.
• Không chia sẻ log/config chưa làm sạch thông tin nhạy cảm.

4. Giảm bề mặt tấn công

• Tắt dịch vụ không cần thiết sau khi đánh giá phụ thuộc.
• Cập nhật hệ điều hành và ứng dụng theo quy trình kiểm soát thay đổi.
• Rà soát firewall, TLS và chính sách xác thực.
• Giám sát log bảo mật và hành vi bất thường.

5. Backup và khôi phục

• Có backup được bảo vệ khỏi xóa/sửa trái phép.
• Xác định RPO/RTO.
• Kiểm thử restore định kỳ.
• Lưu runbook và thông tin liên hệ khi xảy ra sự cố.

6. Thay đổi có kiểm soát

Với mỗi thay đổi:

1. Ghi nhận trạng thái ban đầu.
2. Xác định tác động và rủi ro.
3. Chuẩn bị rollback.
4. Thực hiện trong cửa sổ phù hợp.
5. Kiểm tra dịch vụ, log và quyền sau thay đổi.
6. Ghi lại kết quả.

7. Chứng minh hiệu quả

Không chỉ ghi “đã harden”. Hãy ghi rõ cấu hình nào thay đổi, kiểm tra nào được thực hiện, kết quả mong đợi và kết quả quan sát được.