1. Giới thiệu tổng quan
Trong quá trình vận hành eCloud VPS tại admin.escvn.com/, đôi khi bạn sẽ gặp phải tình trạng website tải chậm, ứng dụng không phản hồi hoặc mất kết nối hoàn toàn. Sự cố này thường xuất phát từ hai nguyên nhân chính: quá tải tài nguyên phần cứng (CPU, RAM, Disk I/O) hoặc nghẽn băng thông mạng (do lượt truy cập tăng đột biến hoặc bị tấn công DDoS).
Tài liệu này hướng dẫn chi tiết cách tự kiểm tra, chẩn đoán nhanh hiệu suất của cả máy chủ VPS Linux và Windows, đồng thời đưa ra các bước xử lý sự cố kịp thời.
2. Giám sát và kiểm tra tài nguyên phần cứng VPS
2.1. Đối với eCloud VPS Linux (Ubuntu, CentOS, AlmaLinux, Rocky)
- Kiểm tra CPU và RAM bằng lệnh
top hoặc htop
- Sử dụng lệnh
top mặc định:
Đăng nhập SSH vào VPS và gõ:
top
Cách đọc các thông số quan trọng:
- Load average: Hiển thị tải trung bình của hệ thống trong 1 phút, 5 phút và 15 phút. Nếu con số này vượt quá số lượng Core CPU của VPS (ví dụ VPS có 2 Core nhưng Load average > 2.000), máy chủ đang bị quá tải nghiêm trọng.
- %Cpu(s): Xem dòng id (idle). Nếu %id gần bằng 0, nghĩa là CPU đang bị khai thác 100%.
- KiB Mem: Xem lượng RAM trống tại mục free. Nếu lượng RAM trống quá ít (< 100MB), hệ thống dễ rơi vào trạng thái tràn RAM (Out of Memory).
- Sử dụng công cụ trực quan
htop (Khuyên dùng):
Nếu hệ thống chưa cài đặt, bạn hãy cài đặt bằng lệnh:
- Với Ubuntu/Debian:
sudo apt install htop -y
- Với CentOS/AlmaLinux:
sudo dnf install epel-release -y && sudo dnf install htop -y
Sau đó khởi chạy:
htop
Giao diện htop sẽ hiển thị trực quan dạng thanh biểu đồ màu sắc cho từng Core CPU, dung lượng RAM đang sử dụng, và danh sách các tiến trình (process) đang chạy xếp theo thứ tự ngốn nhiều tài nguyên nhất. Để thoát ra ngoài, nhấn phím F10 hoặc q.
B. Kiểm tra dung lượng ổ cứng (Storage) và I/O (Đọc/Ghi)
- Kiểm tra dung lượng còn trống:
Nếu phân vùng hệ thống bị đầy 100%, các dịch vụ như MySQL, Nginx sẽ tự động bị crash (tắt ngang). Kiểm tra bằng lệnh:
df -h
Nhìn vào cột Use% của phân vùng / hoặc /dev/sdaX. Nếu đạt mức trên 90%, bạn cần tìm và xóa các file log dư thừa hoặc file backup cũ.
Mẹo tìm thư mục chiếm nhiều dung lượng nhất trên VPS:
du -sh /* 2>/dev/null | sort -h
- Kiểm tra tốc độ đọc ghi ổ cứng (Disk I/O):
Sử dụng công cụ iotop để xem tiến trình nào đang ghi đĩa quá nhiều (gây lag VPS):
sudo apt install iotop -y # Đối với Ubuntu
sudo iotop
2.2. Đối với eCloud VPS Windows Server
Sử dụng Task Manager nhanh chóng
- Kết nối vào VPS bằng Remote Desktop.
- Nhấp chuột phải vào thanh Taskbar và chọn Task Manager (hoặc nhấn tổ hợp phím Ctrl + Shift + Esc).
- Tại tab Processes, bạn có thể click vào đầu cột CPU hoặc Memory để sắp xếp xem ứng dụng nào đang chiếm dụng tài nguyên cao nhất (ví dụ: IIS, mssqlserver, chrome…).
- Chuyển sang tab Performance để xem biểu đồ trực quan về mức độ tải theo thời gian thực của CPU, RAM, ổ đĩa (Disk) và card mạng (Ethernet).
Phân tích chuyên sâu với Resource Monitor
Nếu cần kiểm tra chi tiết luồng dữ liệu hoặc file nào đang bị khóa/ghi liên tục:
- Nhấn Windows + R, gõ
resmon và nhấn Enter.
- Công cụ Resource Monitor sẽ hiển thị chi tiết các tiến trình đang đọc/ghi file nào trên Disk, kết nối đến IP nào trên Network với băng thông cụ thể.
3. Giám sát băng thông và xử lý nghẽn mạng
3.1. Các dấu hiệu nhận biết VPS bị nghẽn mạng
- Website phản hồi cực kỳ chậm hoặc xuất hiện lỗi 504 Gateway Time-out, 502 Bad Gateway.
- Khi thực hiện lệnh ping đến địa chỉ IP của VPS từ máy tính cá nhân, thời gian phản hồi (ms) rất cao hoặc xuất hiện thông báo bị mất gói tin (Request timed out / Packet Loss).
- Không thể kết nối SSH hoặc Remote Desktop vào VPS (báo lỗi kết nối hết hạn – Connection Timeout).
3.2. Giám sát băng thông mạng trên Linux
Đo băng thông thời gian thực bằng nload hoặc iftop
- Sử dụng nload để xem tổng lưu lượng mạng đang tải:
- Cài đặt:
sudo apt install nload -y (Ubuntu) hoặc sudo dnf install nload -y (AlmaLinux).
- Chạy lệnh:
Hệ thống hiển thị tốc độ mạng hiện tại (Incoming – Tải vào và Outgoing – Đẩy ra) giúp bạn biết card mạng có đang chạy hết công suất băng thông định mức hay không.
- Sử dụng iftop để xem IP nào đang ngốn băng thông:
- Cài đặt:
sudo apt install iftop -y / sudo dnf install iftop -y.
- Chạy lệnh:
Công cụ sẽ hiển thị chi tiết danh sách các IP ngoài đang kết nối tới VPS và lượng dữ liệu trao đổi giữa hai bên. Từ đây bạn dễ dàng phát hiện ra IP lạ đang cố tình tải file lớn hoặc spam request.
B. Kiểm tra số lượng kết nối TCP để phát hiện DDoS
Khi bị tấn công DDoS dạng Flood, lượng kết nối TCP ở trạng thái ESTABLISHED hoặc SYN_RECV sẽ tăng vọt. Hãy chạy lệnh sau để thống kê số lượng kết nối từ mỗi địa chỉ IP đến máy chủ của bạn:
netstat -anp | grep 'tcp\|udp' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n
Kết quả trả về sẽ có dạng:
12 127.0.0.1
15 42.113.12.14
850 1.2.3.4 <-- Địa chỉ IP này đang mở tới 850 kết nối (Bất thường/Nghi ngờ DDoS)
4. Quy trình xử lý nhanh khi VPS bị sự cố
Bước 1: Khởi động lại dịch vụ bị treo hoặc tiến trình chiếm tài nguyên cao
- Khởi động lại Web Server:
- Nginx:
sudo systemctl restart nginx
- Apache:
sudo systemctl restart apache2 (hoặc httpd)
- Khởi động lại Database (Nếu bị treo do tràn RAM/CPU):
- MySQL/MariaDB:
sudo systemctl restart mysql (hoặc mariadb)
- Sát hại (Kill) tiến trình chạy ngầm bị treo:
Tìm PID (Process ID) của tiến trình gây treo từ top hoặc htop rồi chạy lệnh:
kill -9 <PID_TIẾN_TRÌNH>
Bước 2: Chặn IP có hành vi bất thường/Tấn công
Nếu phát hiện một hoặc nhiều IP lạ đang spam kết nối phá hoại hệ thống ở bước 3.2, bạn tiến hành chặn ngay lập tức qua tường lửa của VPS:
- Sử dụng UFW (Ubuntu):
sudo ufw deny from 1.2.3.4 to anysudo ufw reload
- Sử dụng Firewalld (AlmaLinux/CentOS):
sudo firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='1.2.3.4' reject"sudo firewall-cmd --reload
- Sử dụng Windows Firewall:
- Truy cập Windows Defender Firewall with Advanced Security.
- Tạo một Inbound Rule mới, chọn loại Custom.
- Tại mục Scope, thêm IP cần chặn vào phần Remote IP addresses.
- Chọn hành động Block the connection.
5. Khi nào cần liên hệ bộ phận kỹ thuật admin.escvn.com/ hỗ trợ?
Nếu bạn đã thực hiện các bước chẩn đoán trên nhưng:
- Máy chủ VPS hoàn toàn mất kết nối, không thể ping hay SSH từ bên ngoài (kể cả sau khi đã khởi động lại VPS qua trang quản trị).
- Lượng traffic tấn công DDoS quá lớn (vượt ngưỡng hàng Gbps), làm nghẽn toàn bộ đường truyền băng thông vật lý dẫn vào VPS từ tầng hạ tầng mạng Core của Datacenter.
- Bạn muốn mở rộng khẩn cấp cấu hình (Scale up CPU, RAM, SSD) để gánh tải lượng người dùng đang truy cập lớn đột ngột.
Cách thức liên hệ hỗ trợ kỹ thuật tại ESC:
- Gửi Ticket hỗ trợ (Khuyên dùng): Đăng nhập vào trang quản trị dịch vụ admin.escvn.com/, chọn mục Gửi yêu cầu hỗ trợ. Mô tả chi tiết lỗi bạn đang gặp phải, đính kèm ảnh chụp màn hình biểu đồ quá tải của VPS để kỹ sư hệ thống ESC khoanh vùng xử lý nhanh nhất.
- Đường dây nóng hỗ trợ kỹ thuật 24/7/365: Gọi ngay tới số 1900 2069 để gặp trực tiếp nhân viên kỹ thuật trực ca xử lý can thiệp khẩn cấp trên hạ tầng VMware vSphere.
1. Giới thiệu tổng quan
Khi bạn vừa khởi tạo thành công một máy chủ ảo eCloud VPS chạy hệ điều hành Linux (như Ubuntu, CentOS, AlmaLinux hay Rocky Linux) tại admin.escvn.com/, hệ thống sẽ được cấp phát một địa chỉ IP Public tĩnh. Ngay lập tức, địa chỉ IP này sẽ lọt vào tầm quét của hàng triệu robot tự động (botnet) trên Internet nhằm dò tìm tài khoản quản trị mặc định qua cổng SSH để chiếm quyền điều khiển.
Để đảm bảo máy chủ hoạt động an toàn và bảo mật tuyệt đối dữ liệu doanh nghiệp, việc thiết lập các lớp phòng thủ ban đầu là cực kỳ cấp thiết. Tài liệu này hướng dẫn chi tiết 6 bước chốt chặn bảo mật từ cơ bản đến nâng cao mà bất kỳ quản trị viên nào cũng cần thực hiện ngay sau khi nhận bàn giao VPS.
2. Quy trình 6 bước bảo mật eCloud VPS Linux
Lưu ý an toàn trước khi thực hiện: Trong quá trình thay đổi cấu hình bảo mật (đặc biệt là đổi cổng SSH hoặc cấu hình tường lửa), bạn không nên tắt cửa sổ kết nối SSH hiện tại. Hãy mở thêm một cửa sổ terminal mới để kiểm tra thử kết nối bằng cấu hình mới thành công rồi mới đóng cửa sổ cũ. Điều này giúp bạn tránh tình trạng bị khóa tài khoản hoặc mất quyền truy cập VPS ngoài ý muốn.
Bước 1: Cập nhật hệ thống lên phiên bản mới nhất
Nhà phát triển hệ điều hành luôn liên tục cập nhật các bản vá lỗi bảo mật (security patches) để ngăn chặn các lỗ hổng zero-day nguy hiểm. Việc đầu tiên là nâng cấp toàn bộ hệ thống.
Bước 2: Tạo tài khoản User mới và cấu hình quyền Sudo (Hạn chế dùng Root)
Tài khoản root là tài khoản có quyền hạn tối cao nhất trên hệ điều hành Linux. Sử dụng tài khoản này hàng ngày tiềm ẩn rủi ro thao tác sai gây lỗi hệ thống hoặc bị hacker nhắm mục tiêu tấn công dò mật khẩu trực tiếp. Giải pháp an toàn nhất là tạo một user thông thường và chỉ cấp quyền quản trị (Sudo) khi thực sự cần thiết.
1. Tạo tài khoản người dùng mới (Ví dụ tên user là esc_admin):
sudo adduser esc_admin
Hệ thống sẽ yêu cầu bạn nhập mật khẩu mới và xác nhận lại mật khẩu cho user này.
2. Cấp quyền quản trị (Sudo/Wheel) cho user mới:
3. Kiểm tra đăng nhập thử bằng user mới:
Hãy mở một cửa sổ SSH mới trên máy tính của bạn và đăng nhập bằng tài khoản esc_admin. Để kiểm tra quyền Sudo, bạn chạy lệnh:
sudo whoami
Nếu hệ thống trả về kết quả là root, tài khoản mới đã được cấp quyền quản trị thành công.
Bước 3: Thay đổi cổng kết nối SSH mặc định (Port 22)
Mặc định dịch vụ SSH lắng nghe trên cổng 22. Các botnet liên tục dò quét cổng này. Thay đổi sang một cổng ngẫu nhiên khác sẽ giảm thiểu đến 99% lượng log tấn công dò mật khẩu tự động.
1. Mở file cấu hình dịch vụ SSH:
sudo nano /etc/ssh/sshd_config
2. Tìm dòng chứa tham số Port:
Mặc định hệ thống sẽ để dòng ẩn #Port 22. Bạn hãy xóa dấu # ở đầu dòng và thay đổi số 22 thành một cổng ngẫu nhiên bảo mật nằm trong khoảng từ 1024 đến 65535 (Ví dụ chọn cổng 2288):
Port 2288
3. Cấu hình SELinux (Chỉ áp dụng với hệ CentOS/AlmaLinux/Rocky Linux):
Mặc định, chính sách bảo mật SELinux sẽ chặn dịch vụ SSH khởi động trên các cổng không phải cổng 22. Nếu VPS của bạn đang bật SELinux, bạn cần khai báo cổng mới:
sudo semanage port -a -t ssh_port_t -p tcp 2288
Nếu hệ thống báo lệnh semanage không tồn tại, bạn cài đặt thêm bằng lệnh: sudo dnf install policycoreutils-python-utils -y.
4. Khởi động lại dịch vụ SSH để áp dụng cấu hình:
Bước 4: Thiết lập và kích hoạt tường lửa (Firewall) bảo vệ VPS
Tường lửa đóng vai trò là chốt chặn lọc mọi dữ liệu ra vào máy chủ ảo. Bạn chỉ nên mở các cổng dịch vụ thực sự cần thiết (như SSH mới, HTTP, HTTPS) và khóa tất cả các cổng còn lại.
A. Hướng dẫn cấu hình UFW (Dành cho Ubuntu/Debian)
Cấu hình cho phép cổng SSH mới hoạt động (Ví dụ: 2288):
sudo ufw allow 2288/tcp
Cho phép các cổng chạy dịch vụ Web (HTTP và HTTPS):
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
Kích hoạt tường lửa hệ thống:
sudo ufw enable
Nhấn y để đồng ý kích hoạt.
Kiểm tra trạng thái hoạt động:
sudo ufw status verbose
B. Hướng dẫn cấu hình Firewalld (Dành cho CentOS/AlmaLinux/Rocky Linux)
Kích hoạt dịch vụ Firewalld chạy cùng hệ thống:
sudo systemctl enable firewalld –now
Thêm cổng SSH mới vào danh sách cho phép (Ví dụ: 2288):
sudo firewall-cmd –permanent –add-port=2288/tcp
Cho phép cổng Web mặc định hoạt động:
sudo firewall-cmd –permanent –add-service=http
sudo firewall-cmd –permanent –add-service=https
Áp dụng các thay đổi cấu hình tường lửa:
sudo firewall-cmd –reload
Kiểm tra danh sách các cổng đang mở:
sudo firewall-cmd –list-all
Bước 5: Cấu hình xác thực bằng SSH Key thay cho mật khẩu thường
Xác thực bằng cặp khóa SSH Key (Private Key / Public Key) là phương thức bảo mật tối ưu nhất hiện nay. Hacker hoàn toàn không thể dò tìm mật khẩu vì hệ thống chỉ chấp nhận tệp tin khóa bí mật trùng khớp lưu trên máy tính cá nhân của bạn để mở khóa.
1. Tạo cặp khóa SSH Key trên máy tính cá nhân của bạn (Client)
2. Sao chép khóa Public Key lên máy chủ eCloud VPS
Chạy lệnh sau từ máy tính cá nhân của bạn để chuyển khóa Public lên server (nhớ chỉ định đúng cổng SSH mới ở Bước 3, ví dụ: 2288):
ssh-copy-id -p 2288 esc_admin@IP_CỦA_VPS
Nhập mật khẩu của user esc_admin để xác nhận tải khóa lên.
3. Kiểm tra đăng nhập không cần mật khẩu
Thử kết nối lại từ máy tính cá nhân:
ssh -p 2288 esc_admin@IP_CỦA_VPS
Nếu bạn truy cập thẳng vào màn hình VPS mà không yêu cầu nhập mật khẩu, cấu hình SSH Key đã hoạt động.
4. Tắt tính năng đăng nhập bằng mật khẩu thường và tắt tài khoản Root đăng nhập trực tiếp
Khi SSH Key đã chạy ổn định, bạn hãy tiến hành khóa hẳn tính năng đăng nhập bằng mật khẩu truyền thống và chặn hoàn toàn tài khoản root kết nối SSH:
- Mở lại file cấu hình SSH trên VPS:
sudo nano /etc/ssh/sshd_config
- Tìm và thay đổi các cấu hình sau (xóa dấu # ở đầu dòng nếu có):
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
- Lưu file và khởi động lại dịch vụ SSH (sudo systemctl restart ssh hoặc sudo systemctl restart sshd). Từ thời điểm này, không ai có thể đăng nhập bằng tài khẩu root hoặc dùng mật khẩu thông thường để kết nối vào VPS của bạn nữa.
Bước 6: Cài đặt và cấu hình Fail2ban ngăn chặn Brute Force
Fail2ban là một dịch vụ bảo vệ nền tảng chạy ngầm mạnh mẽ. Nó sẽ liên tục đọc tệp tin lịch sử hệ thống (log files) để phát hiện các IP đang cố tình kết nối sai mật khẩu nhiều lần liên tục, sau đó tự động kích hoạt tường lửa block (cấm) IP đó trong một khoảng thời gian thiết lập trước.
1. Tiến hành cài đặt Fail2ban:
- Đối với Ubuntu/Debian:
sudo apt install fail2ban -y
- Đối với CentOS/AlmaLinux/Rocky Linux:
sudo dnf install epel-release -y
sudo dnf install fail2ban -y
2. Cấu hình bảo vệ dịch vụ SSH:
Tạo một file cấu hình riêng để ghi đè cấu hình mặc định:
sudo nano /etc/fail2ban/jail.local
Sao chép nội dung cấu hình sau và dán vào file (Nhớ sửa cổng port = 2288 trùng với cổng SSH bạn đã đổi ở bước 3):
[sshd]
enabled = true
port = 2288
filter = sshd
logpath = /var/log/auth.log
maxretry = 5
bantime = 3600
findtime = 600
Giải thích thông số cấu hình:
- maxretry = 5: Nếu một IP kết nối sai quá 5 lần.
- findtime = 600: Trong khoảng thời gian cửa sổ giám sát là 600 giây (10 phút).
- bantime = 3600: Thì IP đó sẽ bị tường lửa khóa chặn kết nối hoàn toàn trong 3600 giây (1 tiếng).
Lưu ý: Đối với hệ điều hành CentOS/AlmaLinux, bạn hãy đổi đường dẫn log thành logpath = /var/log/secure.
3. Khởi động dịch vụ Fail2ban hoạt động cùng hệ thống:
sudo systemctl enable fail2ban –now
3. Tổng kết và danh sách kiểm tra nhanh (Checklist)
Sau khi hoàn tất 6 bước cấu hình trên, máy chủ eCloud VPS Linux của bạn đã có một lớp áo bảo vệ vô cùng kiên cố. Dưới đây là bảng checklist kiểm tra nhanh các hạng mục bảo mật đã triển khai thành công:
| STT |
Hạng mục kiểm tra |
Trạng thái bảo vệ đạt được |
| 1 |
Cập nhật hệ thống |
Hệ thống vận hành trên phiên bản nhân nhân và gói ứng dụng bảo mật mới nhất. |
| 2 |
Hạn chế Root |
Không sử dụng trực tiếp tài khoản root cho thao tác công việc thường ngày. |
| 3 |
Đổi Port mặc định |
Tránh được 99% các đợt quét cổng dịch vụ tự động từ bên ngoài mạng. |
| 4 |
Kích hoạt Firewall |
Chỉ các cổng dịch vụ mong muốn được mở, chặn đứng mọi kết nối rác qua các cổng khác. |
| 5 |
Áp dụng SSH Key |
Khóa hoàn toàn tính năng xác thực mật khẩu thông thường, triệt tiêu nguy cơ rò mật khẩu. |
| 6 |
Cài đặt Fail2ban |
Tự động phát hiện và ngăn chặn hiệu quả các cuộc tấn công Brute Force vào cổng SSH. |
Nếu bạn gặp khó khăn trong bất kỳ thao tác nào hoặc vô tình cấu hình sai tường lửa dẫn đến bị khóa kết nối, đừng ngần ngại truy cập trực tiếp tính năng View Console cứu hộ trên trang quản trị khachhang.esc.vn hoặc liên hệ ngay hotline hỗ trợ kỹ thuật 24/7 của ESC 1900 2069 để được kỹ sư hệ thống xử lý hỗ trợ nhanh chóng.
Các công cụ bảo mật miễn phí tốt nhất cho server Linux
Để bảo mật máy chủ Linux, bạn có thể sử dụng nhiều công cụ miễn phí mạnh mẽ, mỗi công cụ tập trung vào một khía cạnh bảo mật khác nhau. Việc kết hợp các công cụ này sẽ tạo ra một hệ thống phòng thủ vững chắc cho máy chủ của bạn.
Dưới đây là danh sách các công cụ bảo mật miễn phí tốt nhất cho server Linux, được phân loại theo chức năng chính.
🛡️ Tường lửa (Firewall)
Tường lửa là lớp phòng thủ đầu tiên, kiểm soát lưu lượng mạng ra vào máy chủ.
- UFW (Uncomplicated Firewall): Là một giao diện quản lý tường lửa thân thiện, được xây dựng trên nền tảng iptables và được cài đặt mặc định trên Ubuntu. UFW giúp đơn giản hóa việc cấu hình các quy tắc tường lửa phức tạp.
- firewalld: Là giải pháp tường lửa mặc định trên các bản phân phối dựa trên Red Hat như CentOS và Fedora. Nó cung cấp khả năng quản lý các “vùng” mạng (zones) với các mức độ tin cậy khác nhau, cho phép áp dụng chính sách linh hoạt mà không cần khởi động lại dịch vụ.
🔍 Quét Lỗ hổng và Đánh giá An ninh
Các công cụ này giúp bạn kiểm tra cấu hình hệ thống và phát hiện các điểm yếu tiềm tàng.
- Lynis: Một công cụ kiểm tra bảo mật toàn diện và rất phổ biến. Lynis quét hệ thống để tìm kiếm các vấn đề bảo mật, lỗi cấu hình, phần mềm lỗi thời và đưa ra các đề xuất chi tiết để “củng cố” (hardening) máy chủ. Nó hoạt động trên hầu hết các hệ điều hành tương tự Unix.
- OpenVAS (Greenbone Community Edition): Là một bộ công cụ quét lỗ hổng mạnh mẽ và đầy đủ tính năng. Nó có thể xác định hàng ngàn lỗ hổng đã biết trong các dịch vụ mạng và ứng dụng web đang chạy trên máy chủ của bạn.
- Nmap (Network Mapper): Mặc dù chủ yếu được biết đến như một công cụ khám phá mạng, Nmap cũng cực kỳ hữu ích trong việc kiểm tra bảo mật. Nó có thể xác định các cổng đang mở, các dịch vụ đang chạy và các lỗ hổng liên quan đến dịch vụ đó.
🦠 Quét Mã độc và Rootkit
Đây là các công cụ chuyên dụng để phát hiện phần mềm độc hại, virus và rootkit.
- ClamAV: Là một công cụ quét virus mã nguồn mở hàng đầu cho Linux. Nó có thể phát hiện trojan, virus, mã độc và các mối đe dọa khác trong email, tệp tin và thư mục. Cơ sở dữ liệu virus của nó được cập nhật thường xuyên.
- Chkrootkit (Check Rootkit): Một công cụ dòng lệnh đơn giản nhưng hiệu quả để quét hệ thống nhằm phát hiện các dấu hiệu của rootkit đã biết.
- Rkhunter (Rootkit Hunter): Tương tự như Chkrootkit, Rkhunter quét hệ thống của bạn để tìm kiếm rootkit, cửa hậu (backdoors) và các lỗ hổng cục bộ bằng cách so sánh các tệp hệ thống quan trọng với cơ sở dữ liệu các tệp tốt đã biết.
🚨 Hệ thống Phát hiện và Ngăn chặn Xâm nhập (IDS/IPS)
Các công cụ này giám sát lưu lượng mạng hoặc hoạt động trên máy chủ để phát hiện các hành vi đáng ngờ hoặc các cuộc tấn công đã biết.
- Snort: Là một hệ thống phát hiện xâm nhập mạng (NIDS) mã nguồn mở mạnh mẽ. Nó phân tích lưu lượng mạng theo thời gian thực và có thể phát hiện một loạt các cuộc tấn-công dựa trên các bộ quy tắc (ruleset) được định sẵn.
- Suricata: Một công cụ IDS/IPS hiệu suất cao, hiện đại và cũng là mã nguồn mở. Suricata có khả năng xử lý đa luồng, giúp nó hoạt động hiệu quả trên các hệ thống có lưu lượng mạng lớn.
- Fail2Ban: Một công cụ cực kỳ hữu ích để ngăn chặn các cuộc tấn công brute-force. Fail2Ban giám sát các tệp log (ví dụ: log của SSH, web server) để tìm kiếm các lần đăng nhập thất bại lặp đi lặp lại từ cùng một địa chỉ IP và tự động chặn IP đó bằng tường lửa.
Lời khuyên khi sử dụng:
- Bắt đầu với những công cụ cơ bản: Thiết lập tường lửa (UFW/firewalld) và cài đặt Fail2Ban là những bước đầu tiên và quan trọng nhất.
- Quét định kỳ: Lên lịch chạy Lynis, ClamAV, và Rkhunter thường xuyên (ví dụ: hàng tuần) để theo dõi tình trạng an ninh của máy chủ.
- Không cài đặt thừa thãi: Chỉ cài đặt những dịch vụ và công cụ bạn thực sự cần để giảm thiểu bề mặt tấn công.
- Luôn cập nhật: Thường xuyên cập nhật hệ điều hành và tất cả các phần mềm đang chạy trên máy chủ để vá các lỗ hổng bảo mật mới nhất.
