Cách kiểm tra và khắc phục 5 lỗi bảo mật phổ biến khi tự quản lý VPS

1. Cổng SSH để mặc định, không đổi port

Hầu hết các bot scan đều dò cổng 22 để tấn công SSH bằng brute-force.

Cách kiểm tra:

• Chạy ss -tulpn | grep :22 hoặc netstat -tuln
• Nếu thấy SSH đang mở trên cổng 22, bạn đang dùng mặc định

Khắc phục:

• Sửa file /etc/ssh/sshd_config
• Tìm dòng Port 22 và đổi sang một port ngẫu nhiên từ 1025–65535
• Restart SSH: systemctl restart sshd
• Quan trọng: mở trước cổng mới trên tường lửa trước khi restart

2. Cho phép đăng nhập bằng mật khẩu thay vì SSH key

Việc dùng mật khẩu dù mạnh đến đâu cũng dễ bị dò nếu không giới hạn truy cập.

Cách kiểm tra:

• Mở /etc/ssh/sshd_config
• Tìm dòng PasswordAuthentication yes

Khắc phục:

• Đổi thành PasswordAuthentication no
• Đảm bảo bạn đã tạo ~/.ssh/authorized_keys trên VPS
• Chỉ cho phép đăng nhập qua SSH key

3. Không cài tường lửa (firewall)

VPS mặc định thường mở toàn bộ các cổng có dịch vụ đang chạy. Nếu bạn chưa giới hạn gì, rất nguy hiểm.

Cách kiểm tra:

• Chạy: ufw status hoặc iptables -L

Khắc phục:

• Cài ufw (Ubuntu): apt install ufw
• Cho phép cổng cần thiết (ví dụ: SSH, HTTP, HTTPS)
• Dùng các lệnh:
  • ufw allow 22
  • ufw allow 80
  • ufw allow 443
  • ufw enable

4. Không cập nhật hệ điều hành định kỳ

Hệ điều hành cũ, đặc biệt là kernel hoặc thư viện hệ thống, có thể chứa lỗi nghiêm trọng (ví dụ như Dirty Cow, Heartbleed…)

Cách kiểm tra:

• Chạy uname -a để xem kernel hiện tại
• Dùng apt list --upgradable để xem danh sách gói cần nâng cấp (Ubuntu/Debian)

Khắc phục:

• Cập nhật toàn bộ: apt update && apt upgrade
• Khởi động lại VPS nếu cập nhật kernel
• Có thể bật tự động cập nhật bằng unattended-upgrades

5. Không giới hạn quyền của user/người dùng web

Nhiều người chạy toàn bộ web bằng user root hoặc để các folder có quyền ghi cho mọi người (777).

Hậu quả:

• Trang web bị shell upload dễ dàng
• File hệ thống bị sửa đổi

Khắc phục:

• Tạo user riêng cho web: adduser www
• Phân quyền thư mục đúng cách (ví dụ: 755 cho folder, 644 cho file)
• Dùng lệnh find . -type f -perm 777 để kiểm tra file nguy hiểm

Tổng kết

Tự quản lý VPS mang lại sự linh hoạt, nhưng cũng đòi hỏi bạn có trách nhiệm với bảo mật hệ thống. Chỉ với vài bước đơn giản như đổi cổng SSH, tắt đăng nhập mật khẩu, bật tường lửa… bạn đã loại bỏ phần lớn các nguy cơ thường gặp.

Nếu bạn mới bắt đầu, hãy ghi chú lại các kiểm tra này sau mỗi lần tạo VPS mới, hoặc tạo script tự động hóa để tiết kiệm thời gian bảo trì về sau.