--- canonical: https://koalavps.com/vi/guides-vps-hardening-first-hour-opsec/ language: vi generated: 2026-10-21T13:34:46.487Z --- [Trang chủ](https://koalavps.com/vi/) / [Khám phá](https://koalavps.com/vi/resources/) / Ghi chú thực địa KoalaVPS Ghi chú thực địa KoalaVPS # Giờ đầu tiên: bề mặt tấn công nhỏ hơn. Một phiên đầu tiên cẩn thận thiết lập quyền truy cập, cập nhật và khôi phục mà không khóa bạn ra ngoài. [Tìm VPS của bạn](https://koalavps.com/vi/vps/) ## TRONG TÀI LIỆU NÀY [Xác minh và bảo toàn quyền truy cập](https://koalavps.com/vi/guides-vps-hardening-first-hour-opsec/#section-1)[Vá lỗi và giảm thiểu rủi ro phơi nhiễm](https://koalavps.com/vi/guides-vps-hardening-first-hour-opsec/#section-2)[Tách biệt người dùng và bí mật](https://koalavps.com/vi/guides-vps-hardening-first-hour-opsec/#section-3)[Để lại một đường khôi phục hoạt động được](https://koalavps.com/vi/guides-vps-hardening-first-hour-opsec/#section-4)[Kiểm tra trước khi đóng phiên](https://koalavps.com/vi/guides-vps-hardening-first-hour-opsec/#section-5)[Danh sách xác minh ngày đầu tiên](https://koalavps.com/vi/guides-vps-hardening-first-hour-opsec/#section-6)[Thực hiện thay đổi quyền truy cập theo thứ tự có thể đảo ngược](https://koalavps.com/vi/guides-vps-hardening-first-hour-opsec/#section-7)[Chứng minh tường lửa từ bên ngoài máy chủ](https://koalavps.com/vi/guides-vps-hardening-first-hour-opsec/#section-8)[Cơ sở kiến thức](https://koalavps.com/vi/resources/) ## Xác minh và bảo toàn quyền truy cập Xác nhận danh tính máy chủ qua một kênh đáng tin cậy và thêm khóa công khai SSH của bạn. Tạo một người dùng quản trị có tên. Giữ phiên gốc mở trong khi kiểm tra phiên mới và ghi lại phương thức khôi phục trước khi thay đổi xác thực. ## Vá lỗi và giảm thiểu rủi ro phơi nhiễm Cài đặt các bản cập nhật bảo mật được hỗ trợ và khởi động lại nếu cần. Xem xét các dịch vụ đang lắng nghe và chỉ cho phép các cổng cần thiết trong tường lửa, bao gồm IPv6. Gỡ bỏ các daemon không dùng và tránh mở cơ sở dữ liệu công khai chỉ để việc thiết lập dễ dàng hơn. ## Tách biệt người dùng và bí mật Chạy ứng dụng dưới tài khoản riêng của chúng. Đặt cấu hình riêng tư bên ngoài thư mục web công khai và loại trừ nó khỏi kiểm soát phiên bản. Dùng quyền cơ sở dữ liệu hẹp và thông tin đăng nhập riêng cho môi trường sản xuất và thử nghiệm. ## Để lại một đường khôi phục hoạt động được Thiết lập luân chuyển log, cảnh báo dung lượng đĩa và một bản sao lưu riêng. Khởi động lại một lần để xác minh ứng dụng khởi động đúng. Ghi lại những gì đã thay đổi để có thể dựng lại cấu hình trên một image sạch. ## Kiểm tra trước khi đóng phiên Mở kết nối thứ hai bằng tài khoản mới, xác minh quyền quản trị nâng cao và kiểm thử tường lửa từ một máy khách khác. Xác nhận dịch vụ hoạt động trở lại sau khi khởi động lại. Ghi lại tuyến khôi phục của nhà cung cấp để một quy tắc mạng nhầm lẫn không đòi hỏi phải khôi phục tùy hứng. ## Danh sách xác minh ngày đầu tiên Xem xét các socket đang mở, sự kiện xác thực gần đây, trạng thái cập nhật, tuổi bản sao lưu và mức sử dụng đĩa. Kiểm tra rằng cấu hình riêng tư và siêu dữ liệu kiểm soát phiên bản không thể được truy xuất qua HTTP. Sử dụng bộ công cụ đã cài đặt nhỏ nhất hỗ trợ khối lượng công việc thực tế. ``` ss -lntup df -h free -h systemctl --failed ``` ## Thực hiện thay đổi quyền truy cập theo thứ tự có thể đảo ngược Trước tiên hãy xác nhận bảng điều khiển hoặc lối vào cứu hộ và xác minh khóa máy chủ SSH qua một kênh nhà cung cấp đáng tin cậy. Cài đặt khóa công khai cho một quản trị viên được chỉ định, sau đó mở kết nối thứ hai và kiểm tra việc nâng quyền. Xác thực cú pháp cấu hình SSH trước khi tải lại dịch vụ. Chỉ áp dụng thay đổi tường lửa sau khi tuyến SSH mong muốn đã được cho phép. Vô hiệu hóa phương thức xác thực cũ sau khi phương thức thay thế hoạt động từ một phiên mới, bao gồm mọi luồng xác thực hai yếu tố cần thiết. - Kiểm tra cấu hình hiệu lực và các đoạn được bao gồm; một thiết lập trong một tệp có thể không phải là chính sách cuối cùng. - Kiểm tra cả xác thực mật khẩu và chính sách tương tác bàn phím khi xem xét thiết kế đăng nhập dựa trên khóa. - Một cổng SSH không mặc định có thể giảm nhiễu nền, nhưng không thay thế khóa đã xác minh, giới hạn truy cập hoặc cập nhật. - Sử dụng tên dịch vụ và quy trình tải lại cho bản phân phối của bạn. Giữ phiên gốc cho đến khi chính sách mới được chứng minh. ``` # Validate before applying a changed SSH configuration. sudo /usr/sbin/sshd -t # Read effective settings; adapt user, host and client address to the test. sudo /usr/sbin/sshd -T -C user=admin,host=server.example,addr=198.51.100.10 ``` Tài liệu chính thức: [OpenSSH: hướng dẫn cấu hình máy chủ](https://man.openbsd.org/sshd_config) ## Chứng minh tường lửa từ bên ngoài máy chủ Hãy xem tường lửa mạng của nhà cung cấp và tường lửa của máy khách là các biện pháp kiểm soát riêng biệt. Kiểm tra dịch vụ dự định qua IPv4 và IPv6 từ một máy được ủy quyền khác. Kết nối cục bộ chỉ chứng minh rằng một tiến trình đang lắng nghe. Đừng chặn mù quáng mọi gói ICMP: hoạt động mạng bình thường cũng cần lưu lượng kiểm soát phù hợp. Hãy đối chiếu các cổng được công bố của container với các quy tắc thực tế vì mức độ phơi bày ứng dụng có thể không khớp với chính sách mà bạn tưởng rằng một giao diện tường lửa đã áp dụng. - Nếu SSH thất bại, hãy kiểm tra các hạn chế địa chỉ nguồn, giao diện lắng nghe và tường lửa của nhà cung cấp trước khi liên tục thay đổi khóa. - Nếu HTTPS thất bại, hãy kiểm tra DNS, trình lắng nghe tiến trình và tường lửa cục bộ/proxy theo thứ tự đó. - Trước bộ dữ liệu sản xuất đầu tiên, hãy xác minh trạng thái cập nhật, khởi động lại sạch, cảnh báo ổ đĩa và bản sao lưu có thể khôi phục độc lập. - Đặt múi giờ được ghi nhận và xác minh đồng bộ thời gian. Không thêm tùy ý swap hoặc cài đặt ghi log mà không kiểm tra nhu cầu bộ nhớ và lưu trữ của khối lượng công việc. Tài liệu chính thức: [Ubuntu Server: quản trị tường lửa](https://ubuntu.com/server/docs/how-to/security/firewalls/) TIẾP TỤC KHÁM PHÁ ## Tiếp tục đọc. [Hướng dẫn ### Từ một hình ảnh sạch đến một máy chủ hữu ích. Thiết lập ban đầu hợp lý giúp việc bảo trì sau này bớt căng thẳng. Ghi lại các quyết định và kiểm thử từng thay đổi truy cập trước…](https://koalavps.com/vi/first-server/)[Hướng dẫn ### Giữ máy thuộc về bạn. Bảo mật là một quy trình thường xuyên: giảm bề mặt phơi nhiễm, hạn chế đặc quyền, vá có chủ đích và đảm bảo khả năng phục hồi.…](https://koalavps.com/vi/server-security/)[Hướng dẫn ### Bản sao lưu chỉ có ý nghĩa khi khôi phục được. Thiết kế bản sao lưu dựa trên dữ liệu bạn không thể tạo lại và thời gian dịch vụ của bạn có thể chấp nhận mất. Tải lên thành công …](https://koalavps.com/vi/backups/) CẤU HÌNH HẠ TẦNG CỦA BẠN ## Nắm quyền kiểm soát. Triển khai theo cách của bạn. Không giấy tờ danh tính. Toàn quyền quản trị viên. Thanh toán thuần tiền mã hóa. [Chọn một cấu hình](https://koalavps.com/vi/vps/)