Tiếng Việt 
English 
Deutsch 
Español 
Italiano 
Français 
Português do Brasil 
ไทย 
Bahasa Indonesia 
Русский 
العربية 
हिन्दी 
Mục lục
Bảo mật máy chủ Debian 12 đòi hỏi nhiều hơn việc chỉ cài hệ điều hành rồi kết nối với internet. Phần lớn quản trị viên hệ thống làm theo các hướng dẫn bảo mật cơ bản—cập nhật gói, bật tường lửa và tắt đăng nhập root—nhưng bỏ qua nhiều bước gia cố quan trọng giúp nâng cao đáng kể mức độ bảo mật. Những biện pháp bị bỏ sót này tạo ra các lỗ hổng có thể khai thác mà kẻ tấn công tinh vi chủ động tìm kiếm. Hướng dẫn toàn diện này trình bày 15 bước gia cố thiết yếu mà các quản trị viên hệ thống giàu kinh nghiệm thường bỏ qua, biến máy chủ Debian 12 của bạn từ chỗ chỉ hoạt động được thành thực sự được gia cố trước các mối đe dọa hiện đại.
Khác biệt giữa một bản cài đặt cơ bản và một máy chủ Debian 12 được gia cố đúng cách quyết định liệu hệ thống của bạn sẽ sống sót qua các cuộc tấn công có chủ đích hay trở thành thêm một con số thống kê ransomware. Mỗi bước bị bỏ qua đại diện cho một bề mặt tấn công bổ sung, một lỗ hổng tiềm ẩn và một cơ hội bị lỡ để dựng rào chắn bảo mật trước khi mối đe dọa hiện thực hóa.
Nền tảng: cập nhật hệ thống và quản lý gói
Bước 1: Triển khai cập nhật bảo mật tự động với Unattended Upgrades
Trong khi hầu hết quản trị viên chạy apt update và apt upgrade, ít người triển khai vá bảo mật tự động—một thiếu sót nghiêm trọng khiến hệ thống dễ bị tổn thương trong khoảng thời gian giữa các lần cập nhật thủ công.
Các bản vá bảo mật của Debian xử lý những lỗ hổng đã biết đang bị kẻ tấn công khai thác. Cập nhật thủ công tạo ra những khoảng trống nguy hiểm: vào sáng thứ Hai khi bạn chạy cập nhật, một lỗ hổng zero-day của thứ Ba đã lan truyền trong các nhóm tấn công. Đến tối thứ Ba, hệ thống của bạn vẫn chưa được vá dù bản sửa đã có trong các kho Debian.
Cài unattended-upgrades để cập nhật bảo mật tự động:
bashsudo apt update && sudo apt upgrade -y
sudo apt install unattended-upgrades apt-listchanges -y
sudo dpkg-reconfigure -plow unattended-upgrades
Cấu hình cập nhật bảo mật tự động bằng cách sửa /etc/apt/apt.conf.d/50unattended-upgrades:
bashsudo nano /etc/apt/apt.conf.d/50unattended-upgrades
Hãy đảm bảo các thiết lập quan trọng này được bật:
textUnattended-Upgrade::Allowed-Origins {
"${distro_id}:${distro_codename}-security";
};
Unattended-Upgrade::Mail "[email protected]";
Unattended-Upgrade::MailOnlyOnError "true";
Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";
Unattended-Upgrade::AutoFixInterruptedDpkg "true";
Cấu hình này tự động áp dụng cập nhật bảo mật hằng ngày, xóa các gói kernel không dùng và chỉ gửi email cho bạn khi có lỗi—ngăn ngừa những khoảng trống bảo mật nguy hiểm mà không thêm gánh nặng quản trị.
Gia cố bảo mật máy chủ Debian 12 với các lớp bảo vệ của tường lửa
Gia cố truy cập SSH
Bước 2: Bắt buộc xác thực SSH bằng khóa (tắt xác thực mật khẩu)
Hầu hết máy chủ bật xác thực mật khẩu SSH theo mặc định—một lỗ hổng mời gọi tấn công brute-force từ khắp internet. Kẻ tấn công dùng công cụ tự động thử hàng triệu tổ hợp mật khẩu mỗi đêm, và trừ khi bạn dùng mật khẩu cực mạnh kèm fail2ban, sớm muộn sẽ có kẻ thành công.
Xác thực bằng khóa SSH vượt trội về mặt mật mã: ngay cả khi kẻ tấn công xâm nhập vào mạng của bạn, chúng không thể dùng mật khẩu đánh cắp vì máy chủ không còn chấp nhận chúng.
Tạo một cặp khóa SSH mạnh trên máy cục bộ của bạn:
bashssh-keygen -t rsa -b 4096 -f ~/.ssh/debian_server -N "your-strong-passphrase"
Sao chép khóa công khai lên máy chủ (chạy lệnh này một lần từ máy cục bộ):
bashssh-copy-id -i ~/.ssh/debian_server.pub username@your_server_ip
Bây giờ hãy xác minh truy cập bằng khóa hoạt động trước khi tắt mật khẩu:
bashssh -i ~/.ssh/debian_server username@your_server_ip
Sửa cấu hình dịch vụ SSH:
bashsudo nano /etc/ssh/sshd_config
Áp dụng các thiết lập SSH đã gia cố sau:
textProtocol 2
Port 22
AddressFamily inet
ListenAddress 0.0.0.0
PermitRootLogin no
PubkeyAuthentication yes
PasswordAuthentication no
ChallengeResponseAuthentication no
KbdInteractiveAuthentication no
UsePAM yes
PermitEmptyPasswords no
MaxAuthTries 3
MaxSessions 5
LoginGraceTime 1m
StrictModes yes
IgnoreRhosts yes
HostbasedAuthentication no
RhostsRSAAuthentication no
RSAAuthentication no
X11Forwarding no
X11UseLocalhost no
TCPKeepAlive yes
ClientAliveInterval 300
ClientAliveCountMax 2
Subsystem sftp /usr/lib/openssh/sftp-server
Khởi động lại SSH để áp dụng thay đổi:
bashsudo systemctl restart ssh
Hãy kiểm tra kỹ cấu hình trước khi đăng xuất khỏi phiên hiện tại—nếu cấu hình sai, bạn có nguy cơ bị khóa vĩnh viễn.
Bảo mật xác thực bằng khóa SSH để truy cập máy chủ an toàn
Bước 3: Đổi cổng SSH khỏi mặc định 22 (tùy chọn nhưng hiệu quả)
Tuy không cần thiết về mặt mật mã, việc đổi SSH khỏi cổng 22 làm giảm nhiễu quét cổng từ các công cụ tấn công tự động. Đây là bảo mật bằng cách che giấu, hữu ích trong thực tế để giảm log rác và làm chậm hoạt động trinh sát thông thường.
Trong /etc/ssh/sshd_config, sửa:
textPort 2222
Cập nhật tường lửa để cho phép cổng mới:
bashsudo ufw allow 2222/tcp
sudo ufw delete allow 22/tcp
Hãy ghi lại thay đổi này—bạn sẽ quên nó trong lần khẩn cấp lúc 3 giờ sáng tới.
Bước 4: Triển khai Fail2ban để ngăn chặn tấn công brute-force
Ngay cả khi đã xác thực bằng khóa SSH, các dịch vụ phụ (mail, ứng dụng web, v.v.) vẫn có thể chấp nhận mật khẩu. Fail2ban theo dõi các lần xác thực thất bại và tạm thời chặn địa chỉ IP vi phạm, ngăn tấn công brute-force trước khi chúng thành công.
Cài đặt Fail2ban:
bashsudo apt update && sudo apt install fail2ban -y
Cấu hình Fail2ban bằng cách sao chép cấu hình mặc định:
bashsudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
Sửa cấu hình:
bashsudo nano /etc/fail2ban/jail.local
Trong [DEFAULT] , hãy cấu hình:
text[DEFAULT]
bantime = 3600
findtime = 600
maxretry = 3
ignoreip = 127.0.0.1/8 ::1 your_trusted_ip
[sshd]
enabled = true
port = 2222
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 1800
Khởi động và bật Fail2ban:
bashsudo systemctl enable fail2ban
sudo systemctl start fail2ban
Theo dõi các lệnh chặn đang hoạt động:
bashsudo fail2ban-client status sshd
Cấu hình này chặn IP trong 1800 giây (30 phút) sau 3 lần thử SSH thất bại trong cửa sổ 10 phút—đủ mạnh để chặn tấn công brute-force mà vẫn tránh dương tính giả.
Cấu hình tường lửa và gia cố mạng
Bước 5: Cấu hình tường lửa UFW với chính sách mặc định nghiêm ngặt
Nhiều quản trị viên bỏ qua cấu hình tường lửa hoặc dùng quy tắc quá dễ dãi. Một tường lửa được cấu hình đúng là tuyến phòng thủ đầu tiên trước truy cập trái phép.
Cài đặt và cấu hình UFW (Uncomplicated Firewall):
bashsudo apt update && sudo apt install ufw -y
Trước khi bật UFW, hãy cho phép SSH để tránh bị khóa:
bashsudo ufw allow 2222/tcp
sudo ufw allow ssh
Đặt chính sách mặc định hạn chế:
bashsudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw default deny routed
Bật UFW:
bashsudo ufw enable
Với một máy chủ web, hãy cho phép thêm HTTP và HTTPS:
bashsudo ufw allow 80/tcp
sudo ufw allow 443/tcp
Chỉ cho phép các IP cụ thể truy cập dịch vụ nhạy cảm:
bashsudo ufw allow from 192.168.1.100 to any port 3306
Xem cấu hình của bạn:
bashsudo ufw status verbose
Bước 6: Gia cố tham số kernel bằng Sysctl
Quản trị viên hệ thống hiếm khi sửa tham số kernel ngoài mặc định—một thiếu sót đáng kể. Gia cố kernel qua sysctl có thể ngăn chặn toàn bộ các lớp tấn công và khai thác mạng.
Tạo tệp cấu hình gia cố:
bashsudo nano /etc/sysctl.d/99-hardening.conf
Thêm các tham số gia cố kernel toàn diện:
text# Network Security
net.ipv4.ip_forward = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.default.secure_redirects = 0
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.icmp_echo_ignore_all = 0
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
# IPv6 Security
net.ipv6.conf.all.disable_ipv6 = 0
net.ipv6.conf.all.forwarding = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0
# Memory Protection
kernel.dmesg_restrict = 1
kernel.printk = 3 3 3 3
kernel.kptr_restrict = 2
kernel.core_uses_pid = 1
kernel.kexec_load_disabled = 1
fs.protected_hardlinks = 1
fs.protected_symlinks = 1
# Process Restrictions
kernel.unprivileged_userns_clone = 0
kernel.perf_event_paranoid = 3
Áp dụng gia cố ngay lập tức:
bashsudo sysctl -p /etc/sysctl.d/99-hardening.conf
Các tham số này tắt chuyển tiếp IP (trừ khi bạn cần), bật SYN cookie để ngăn tấn công SYN flood, bật lọc reverse-path để ngăn giả mạo IP và triển khai các biện pháp bảo vệ bộ nhớ chống lộ thông tin.
Bước 7: Tắt các dịch vụ mạng không cần thiết
Mỗi dịch vụ đang chạy đại diện cho bề mặt tấn công tiềm năng. Nhiều bản cài Debian mặc định có những dịch vụ bạn không cần—máy chủ mail, trình phân giải DNS, thậm chí cả Bluetooth trên máy chủ không màn hình.
Xác định các dịch vụ đang chạy:
bashsudo systemctl list-units --type=service --state=running
Kiểm tra dịch vụ nào đang lắng nghe trên cổng mạng:
bashsudo ss -tulnp
Tắt các dịch vụ không cần thiết. Với một máy chủ web cơ bản, có thể bạn không cần:
bashsudo systemctl disable bluetooth.service
sudo systemctl disable cups.service
sudo systemctl disable avahi-daemon.service
sudo systemctl mask isc-dhcp-server
sudo systemctl mask isc-dhcp-server6
Sau khi tắt, hãy dừng các dịch vụ:
bashsudo systemctl stop bluetooth.service
sudo systemctl stop cups.service
Ghi lại những dịch vụ bạn đã tắt và lý do—điều này trở nên quan trọng khi kiểm toán bảo mật.
Kiểm soát truy cập và xác thực
Bước 8: Triển khai xác thực hai yếu tố cho SSH
Xác thực hai yếu tố (2FA) thêm một lớp bảo mật thứ hai: ngay cả khi ai đó có được khóa riêng SSH của bạn, họ không thể truy cập máy chủ mà thiếu yếu tố thứ hai.
Cài Google Authenticator cho TOTP (mật khẩu một lần theo thời gian):
bashsudo apt update && sudo apt install libpam-google-authenticator -y
Cấu hình 2FA với tư cách người dùng của bạn (không phải root):
bashgoogle-authenticator -t -f -d -w 10 -r 3 -R 30
Lệnh này tạo mã QR để quét bằng ứng dụng xác thực của bạn. Hãy lưu mã dự phòng ở nơi an toàn—đó là cơ chế khôi phục nếu bạn mất thiết bị xác thực.
Sửa cấu hình PAM cho SSH để yêu cầu 2FA:
bashsudo nano /etc/pam.d/sshd
Thêm dòng này trước @include common-auth:
textauth required pam_google_authenticator.so nullok
Sửa cấu hình dịch vụ SSH:
bashsudo nano /etc/ssh/sshd_config
Thêm hoặc sửa:
textChallengeResponseAuthentication yes
AuthenticationMethods publickey,keyboard-interactive
Khởi động lại SSH:
bashsudo systemctl restart ssh
Hãy kiểm tra cấu hình bằng một terminal mới trước khi đóng phiên hiện tại.
Xác thực hai yếu tố bảo vệ truy cập máy chủ Debian
Bước 9: Gia cố chính sách tài khoản người dùng
Chính sách tài khoản người dùng mặc định trong Debian thiếu các hạn chế cần thiết. Nếu không gia cố, chính sách mật khẩu yếu và cơ chế khóa tài khoản khiến hệ thống dễ bị xâm phạm thông tin đăng nhập.
Sửa /etc/login.defs để áp dụng chính sách mật khẩu mạnh hơn:
bashsudo nano /etc/login.defs
Sửa các thiết lập quan trọng sau:
textPASS_MAX_DAYS 30
PASS_MIN_DAYS 1
PASS_WARN_AGE 7
LOGIN_RETRIES 3
LOGIN_TIMEOUT 60
FAILLOG_ENAB yes
LOG_UNKFAIL_ENAB yes
LOG_OK_LOGINS yes
SYSLOG_SU_ENAB yes
Tắt các tài khoản người dùng không cần thiết:
bashsudo passwd -l games
sudo passwd -l news
sudo passwd -l uucp
Tạo cấu hình sudo mạnh yêu cầu mật khẩu và ghi nhật ký việc dùng sudo:
bashsudo visudo
Đảm bảo có các dòng sau:
textDefaults use_pty
Defaults log_input, log_output
Defaults requirepass
%sudo ALL=(ALL:ALL) ALL
Điều này buộc lệnh sudo chạy trong một pseudo-terminal, ghi lại mọi đầu vào/đầu ra và yêu cầu xác thực mật khẩu khi nâng đặc quyền.
Giám sát, kiểm toán và phát hiện xâm nhập
Bước 10: Triển khai ghi nhật ký toàn diện với Auditd
Hầu hết quản trị viên chỉ dựa vào syslog, bỏ qua các sự kiện bảo mật chi tiết mà auditd ghi lại. Auditd cung cấp dấu vết kiểm toán chi tiết cần thiết cho điều tra pháp chứng và tuân thủ.
Cài đặt auditd:
bashsudo apt update && sudo apt install auditd audispd-plugins -y
Cấu hình auditd bằng cách sửa /etc/audit/rules.d/audit.rules:
bashsudo nano /etc/audit/rules.d/audit.rules
Thêm các quy tắc kiểm toán quan trọng:
text# Remove any existing rules
-D
# Buffer Size
-b 8192
# Failure Mode
-f 2
# Audit the audit logs
-w /var/log/audit/ -k auditlog
# Audit system administration
-w /etc/sudoers -p wa -k sudoers
-w /etc/sudoers.d/ -p wa -k sudoers
# Audit system calls
-a always,exit -F arch=b64 -S execve -k exec
-a always,exit -F arch=b32 -S execve -k exec
# Audit file modifications
-w /etc/passwd -p wa -k identity
-w /etc/group -p wa -k identity
# Make the configuration immutable
-e 2
Nạp các quy tắc kiểm toán:
bashsudo systemctl restart auditd
Xem nhật ký kiểm toán:
bashsudo ausearch -m EXECVE --start recent
Tạo báo cáo kiểm toán:
bashsudo aureport
Auditd tạo ra lượng log khổng lồ—hãy cấu hình luân chuyển log để tránh hết dung lượng đĩa.
Bước 11: Cài công cụ phát hiện rootkit và mã độc
Nhiều quản trị viên cho rằng hệ thống của mình không có mã độc vì không thấy gì bất thường. Các rootkit tinh vi che giấu sự hiện diện của chúng trong khi vẫn duy trì quyền truy cập cho kẻ tấn công.
Cài đặt rootkit hunter:
bashsudo apt update && sudo apt install rkhunter -y
sudo rkhunter --update
sudo rkhunter --check --skip-warning
Cài chkrootkit để có thêm một lớp phát hiện mã độc:
bashsudo apt install chkrootkit -y
sudo chkrootkit
Cài AIDE (Advanced Intrusion Detection Environment) để giám sát toàn vẹn tệp:
bashsudo apt install aide aide-common -y
sudo aideinit
sudo cp /var/lib/aide/aide.db.new /var/lib/aide/aide.db
sudo aide --check
Lên lịch quét hàng tuần qua cron:
bashsudo nano /etc/cron.d/rootkit-checks
Thêm:
text0 2 * * 0 root /usr/bin/rkhunter --check --skip-warning 2>&1 | mail -s "Weekly rootkit check" [email protected]
0 3 * * 0 root /usr/bin/aide --check 2>&1 | mail -s "Weekly AIDE check" [email protected]
Những công cụ này cảnh báo bạn về rootkit và mã độc trước khi chúng thiết lập chỗ đứng lâu dài.
Bước 12: Bật và giám sát nhật ký hệ thống
Quản trị viên hệ thống thường có syslog đang chạy nhưng không thực sự xem lại log. Log chỉ hữu ích khi bạn chủ động giám sát chúng.
Cấu hình rsyslog để ghi log toàn diện:
bashsudo nano /etc/rsyslog.conf
Đảm bảo các module quan trọng được bật:
textmodule(load="imuxsock")
module(load="imklog")
module(load="imtcp")
input(type="imtcp" port="514")
Cấu hình luân chuyển log với logrotate:
bashsudo nano /etc/logrotate.d/rsyslog
Đảm bảo luân chuyển đúng cách:
text/var/log/syslog {
daily
rotate 14
compress
delaycompress
notifempty
create 0640 syslog adm
sharedscripts
postrotate
/usr/lib/rsyslog/rsyslog-rotate
endscript
}
Cài và cấu hình logwatch để có bản tóm tắt log hằng ngày:
bashsudo apt install logwatch -y
sudo nano /etc/logwatch/conf/logwatch.conf
Cấu hình gửi email:
textOutput = mail
Format = html
Email = [email protected]
Hostname = your-server-name
Kiểm soát truy cập và quản lý đặc quyền
Bước 13: Triển khai và thực thi kiểm soát truy cập bắt buộc
Hệ thống quyền tiêu chuẩn của Linux (DAC) thiếu độ chi tiết để ngăn ứng dụng bị xâm phạm gây hại cho hệ thống. AppArmor cung cấp kiểm soát truy cập bắt buộc (MAC) dựa trên hồ sơ, bảo vệ chống di chuyển ngang sau khi bị xâm phạm.
Debian có AppArmor theo mặc định nhưng thường chỉ nạp vài hồ sơ tối thiểu. Hãy xác minh AppArmor đang hoạt động:
bashsudo aa-status
Cài thêm hồ sơ AppArmor:
bashsudo apt install apparmor-profiles apparmor-profiles-extra apparmor-utils -y
Nạp lại hồ sơ:
bashsudo systemctl reload apparmor
Xác minh biện pháp bảo vệ đang hoạt động:
bashsudo aa-status | grep "profiles in enforce mode"
Tạo hồ sơ AppArmor tùy chỉnh cho các ứng dụng nhạy cảm:
bashsudo aa-genprof /usr/bin/your-application
AppArmor giới hạn ứng dụng trong các tài nguyên dự kiến, ngăn máy chủ web bị xâm phạm truy cập tệp hệ thống hoặc cấu hình cơ sở dữ liệu.
Bước 14: Cấu hình quyền tệp và umask an toàn
Quyền tệp mặc định trong Debian cho phép quyền đọc không cần thiết. Cấu hình umask đúng cách ngăn tệp nhạy cảm bị mọi người đọc được.
Kiểm tra umask hiện tại:
bashumask
Đặt mặc định an toàn trong /etc/profile.d/ cho tất cả người dùng:
bashsudo nano /etc/profile.d/secure-umask.sh
Thêm:
textif [ $UID -ge 1000 ]; then
umask 0077
else
umask 0027
fi
Đặt quyền thực thi:
bashsudo chmod 644 /etc/profile.d/secure-umask.sh
Kiểm tra quyền hiện tại của các tệp nhạy cảm mà mọi người đều đọc được:
bashsudo find /etc -type f -perm -444 -exec ls -l {} \;
sudo find /home -type f -perm -444 -exec ls -l {} \;
Xóa các quyền đọc không cần thiết:
bashsudo chmod 600 /etc/ssh/sshd_config
sudo chmod 640 /etc/sudoers
Bước 15: Tắt các capability hệ thống tệp không cần thiết
Hệ thống Linux hiện đại cấp capability chi tiết cho chương trình thay vì phân biệt nhị phân root/không root. Capability không cần thiết trên các tệp nhị phân hệ thống tạo ra đường nâng đặc quyền.
Xác định capability trên các tệp nhị phân hệ thống:
bashgetcap -r /usr/bin 2>/dev/null
getcap -r /usr/sbin 2>/dev/null
Xóa các capability không cần thiết (ví dụ):
bashsudo setcap -r /usr/bin/dumpcap
sudo setcap -r /usr/bin/chsh
Ghi lại những capability cần thiết cho ứng dụng của bạn và xóa phần còn lại—mỗi capability là một đường nâng đặc quyền tiềm năng nếu bị khai thác.
Gia cố và bảo trì liên tục
Sau khi triển khai 15 bước gia cố này, bảo mật trở thành một quá trình liên tục:
Hàng tháng: Xem lại nhật ký kiểm toán để tìm bất thường, kiểm tra các lệnh chặn của Fail2ban để tìm mô hình, cập nhật tham số kernel khi cần, xác minh hồ sơ AppArmor vẫn hoạt động.
Hàng quý: Chạy quét rootkit toàn bộ, xem lại quy tắc tường lửa để loại bỏ ngoại lệ không cần thiết, kiểm toán tài khoản người dùng để tìm truy cập không hoạt động, kiểm tra các dịch vụ đã lỗi thời có thể tắt.
Hàng năm: Thực hiện kiểm toán bảo mật toàn diện bằng các công cụ như Lynis, xem lại và cập nhật mọi chính sách bảo mật, thử nghiệm quy trình khôi phục thảm họa, cập nhật kế hoạch ứng phó sự cố.
Kết luận
Khác biệt giữa một máy chủ Debian 12 dễ bị tổn thương và một máy chủ được gia cố nằm ở việc thực hiện 15 bước mà nhiều quản trị viên hệ thống bỏ qua. Từ cập nhật bảo mật tự động và gia cố khóa SSH đến tinh chỉnh tham số kernel, ghi log toàn diện và giám sát liên tục, mỗi biện pháp xử lý những vectơ tấn công cụ thể mà kẻ tấn công tinh vi khai thác hằng ngày.
Hãy bắt đầu với các bước nền tảng—cập nhật tự động, bắt buộc xác thực bằng khóa SSH, cấu hình tường lửa và bật 2FA. Sau đó tiến tới giám sát và phát hiện xâm nhập. Đừng cố triển khai mọi thứ cùng lúc; gia cố theo từng giai đoạn giúp tránh lỗi cấu hình và cho bạn hiểu từng thành phần. Ghi lại thay đổi cẩn thận, kiểm tra cấu hình trước khi triển khai lên production và duy trì thực hành giám sát đều đặn.
Máy chủ Debian 12 của bạn sẽ không bao giờ an toàn 100%—bảo mật là một hành trình liên tục, không phải đích đến. Nhưng khi triển khai 15 bước gia cố này, bạn loại bỏ những lỗ hổng dễ khai thác mà tấn công tự động nhắm tới và dựng nên hàng phòng thủ đủ mạnh để đẩy lùi mọi đối thủ, trừ những kẻ cực kỳ quyết tâm và có nhiều nguồn lực.
