Tải của máy chủ: load average, I/O wait và swap
Vì sao load average bằng 8 có thể là bình thường còn bằng 2 lại là sự cố, bộ xử lý bận khác gì với chiếc đĩa mà hệ thống đang chờ, và swap tăng một lần rồi không bao giờ về 0 có nghĩa là gì.
ĐọcBài viết về bảo mật máy chủ
Nhìn kỹ vào những công cụ vốn đã chạy trên máy chủ của bạn: chúng cho thấy gì, đọc kết quả ra sao và người ta thường sai ở đâu.
Làm sao biết VPS của bạn đã bị xâm nhập
Những dấu hiệu cho thấy có người khác trên máy chủ, và thứ tự kiểm tra: đăng nhập, tệp bị thay đổi, kết nối đi ra. Không hoảng loạn và không cài lại từ đầu.
ĐọcKẻ tấn công bám rễ ở đâu: cron, timer, khóa
Tám nơi mà từ đó mã độc tự khởi chạy lại sau khi khởi động lại và sau khi bị xóa, cùng các lệnh kiểm tra hết danh sách trong năm phút.
ĐọcFalco trên một VPS thông thường, không cần Kubernetes
Falco có thể theo dõi hành vi của các tiến trình trên một máy chủ thông thường: shell được chạy từ PHP, ai đó đọc khóa của bạn, một trình đào tiền chạy từ /tmp. Và nên tắt gì để không chìm trong tiếng ồn.
ĐọcCrowdSec và Fail2ban: khác nhau ở đâu và có nên dùng cả hai
Bộ đếm cục bộ đối lại danh tiếng chung, vì sao sau khi cài CrowdSec chẳng có gì bị chặn, và kết quả là cái gì rời khỏi máy chủ của bạn.
ĐọcSuricata trên một VPS đơn lẻ: không ELK, không Kibana
Vì sao cấu hình mặc định của Suricata ngốn hết đĩa trong hai ngày, nên giữ gì trong eve.json, và đọc alert thế nào mà không cần cả chồng ba dịch vụ.
ĐọcDương tính giả của ModSecurity: nên miễn trừ gì trước
Vì sao CRS chặn chính biểu mẫu của bạn, tìm quy tắc gây lỗi trong nhật ký thế nào, và ba cách tạo ngoại lệ mà không tắt lớp bảo vệ.
ĐọcPSAD: nhìn thấy máy chủ của bạn đang bị quét
Việc quét cổng không để lại dấu vết trong nhật ký ứng dụng, nên Fail2ban không thấy nó. Cấu hình PSAD thế nào và vì sao nếu không bật ghi nhật ký trong UFW thì nó chẳng hiển thị gì.
ĐọcAppArmor: enforce, complain và unconfined nghĩa là gì
Hồ sơ giới hạn chương trình trong đúng những gì nó phải làm và biến một trang web bị hack thành phiền toái nhỏ. Mặc định có gì được bật, và thêm hồ sơ thế nào mà không làm hỏng dịch vụ.
Đọcauditd: những quy tắc đáng có để sau này còn cái mà đọc
Ngay khi vừa cài, auditd gần như không ghi lại gì hữu ích. Bộ quy tắc trả lời được những câu hỏi đặt ra sau sự cố, và cách đọc kết quả mà không phải học thuộc ausearch.
Đọcdebsums: kiểm tra rằng các tệp hệ thống không bị thay
Chuẩn mực toàn vẹn dựng sẵn đã nằm bên trong mọi gói của Debian và Ubuntu. Dùng nó thế nào, vì sao một số phát hiện là hợp lệ, và vì sao độ bao phủ lại không đầy đủ.
ĐọcAIDE: nhận ra rằng một tệp đã bị thay thế
Cấu hình việc theo dõi tính toàn vẹn sao cho báo cáo thực sự được đọc: nên loại trừ gì, giữ cơ sở dữ liệu ở đâu, và vì sao không được chạy aide --update một cách mù quáng.
ĐọcTrang web chậm: nên xem gì trong MySQL và PostgreSQL
Thứ tự kiểm tra cơ sở dữ liệu khi mọi thứ chậm lại: kết nối, truy vấn chậm, kích thước bộ đệm. Cùng hai thứ lặng lẽ ngốn đĩa.
ĐọcPhần mềm diệt virus trên máy chủ Linux: thực ra nó bắt được gì
Vì sao cần ClamAV trên máy chủ không có Windows, vì sao nó không bảo vệ trước việc bị đột nhập, clamd đòi bao nhiêu bộ nhớ, và quét tệp tải lên thay vì cả đĩa thế nào.
ĐọcChỉ số hardening của Lynis: từ 60 lên 85
Đọc báo cáo của Lynis thế nào, gợi ý nào mang lại lợi ích thật, gợi ý nào không áp dụng được cho VPS, và vì sao 100 trên 100 không xảy ra.
ĐọcChứng chỉ hết hạn: vì sao việc tự gia hạn bị hỏng
Năm nguyên nhân khiến certbot lặng lẽ ngừng gia hạn chứng chỉ, và vì sao nên kiểm tra thứ máy chủ thực sự trả về thay vì tệp trên đĩa.
ĐọcĐĩa đầy nhưng vẫn còn chỗ: inode, nhật ký và SMART
Vì sao df hiển thị vài gigabyte trống kèm lỗi «no space left», các tệp đã xóa mà chỗ không được trả về đi đâu, và thuộc tính SMART nào thực sự báo trước hỏng hóc.
ĐọcNhững cổng không bao giờ nên hướng ra Internet
Đọc kết quả của ss thế nào, khác biệt giữa 0.0.0.0 và 127.0.0.1 là gì, và vì sao Redis không mật khẩu trên địa chỉ công khai nghĩa là bị đột nhập trong vòng một giờ.
ĐọcMonit: khởi động lại dịch vụ đã sập và giới hạn của cách này
Các phép kiểm tra của Monit khác Restart=always của systemd thế nào, tránh vòng lặp khởi động lại vô tận ra sao, và vì sao giao diện web trên cổng 2812 không được hướng ra ngoài.
ĐọcCập nhật bảo mật tự động mà không có bất ngờ
Cấu hình unattended-upgrades thế nào để bản vá tự cài và không có gì sập lúc nửa đêm, và vì sao không thể bỏ qua cờ reboot-required.
ĐọcNhững jail của Fail2ban thực sự có ý nghĩa
Ngoài sshd thì nên bật gì, giá trị bantime và maxretry nào là hợp lý, và vì sao trên Debian 12 jail sshd thường chẳng bắt được gì.
ĐọcUFW: những quy tắc chẳng đóng được gì
Thứ tự quy tắc, IPv6 lọt qua bộ lọc, Docker xuất bản cổng vòng qua UFW, và vì sao «status active» vẫn chưa có nghĩa là cổng đã đóng.
ĐọcTắt mật khẩu trong SSH mà không mất quyền truy cập
Khóa thay mật khẩu trong mười phút: tự kiểm tra thế nào trước khi tắt, vì sao tệp tên 90-hardening.conf thua tệp của đám mây, và làm gì với ssh.socket trên Ubuntu 24.04.
ĐọcLogwatch: báo cáo hằng ngày mà người ta thôi đọc
Đặt mức chi tiết thế nào để email vừa một màn hình, nên đọc mục nào trước, và vì sao trên Debian 12 mục SSH lại ra trống rỗng.
Đọc