Bài 44: Linux security audit cơ bản

Chốt ý nhanh

Chủ đề	Điểm cần nhớ
Security Audit	Là hoạt động rà soát có cấu trúc để tìm lỗ hổng cấu hình, quyền và bề mặt tấn công.
Mục tiêu thực tế	Không phải tìm cho đủ lỗi, mà là biết rủi ro nào đáng xử lý trước theo mức ảnh hưởng.
Tư duy đúng	Audit tốt phải tạo ra checklist hành động, không dừng ở báo cáo cho đẹp.

Phần thực hành mở rộng: security audit Linux như một vòng rà soát có ưu tiên

Bảo mật không thể chỉ dựa vào niềm tin rằng “máy này chắc ổn”. Audit là lúc anh nhìn lại server bằng con mắt nghi ngờ có hệ thống: ai đang truy cập, cổng nào mở, package nào cũ, quyền nào quá rộng và log có gì bất thường.

Lab 1: Kiểm kê người dùng, SSH và quyền sudo

getent passwd | grep -E '/bin/bash|/bin/sh'
sudo getent group sudo || sudo getent group wheel
sudo grep -E '^(PermitRootLogin|PasswordAuthentication)' /etc/ssh/sshd_config

Đây là lớp audit nền tảng để phát hiện tài khoản dư thừa hoặc chính sách SSH quá lỏng.

Lab 2: Rà cổng mở và service chạy thực tế

ss -tulpn
systemctl --type=service --state=running
sudo ufw status verbose || sudo firewall-cmd --list-all

Nếu một service đang lắng nghe nhưng không nằm trong thiết kế mong muốn, đó là tín hiệu cần điều tra ngay.

Lab 3: Kiểm tra package cập nhật và thành phần cũ rủi ro

apt list --upgradable
rpm -qa --last | head
uname -r

Audit không phải lúc nào cũng vá ngay, nhưng ít nhất phải biết server đang nợ những gì.

Lab 4: Tìm quyền file và cron bất thường

find /etc/cron* -type f -maxdepth 2 -ls
find / -perm -4000 -type f 2>/dev/null | head -100
ls -l /etc/passwd /etc/shadow

Những điểm nhỏ như file SUID lạ hoặc cron script bị ghi sai quyền đôi khi lại là cửa vào rất thực tế.

Lab 5: Viết ma trận ưu tiên xử lý sau audit

mức độ ảnh hưởng nếu bị khai thác
khả năng xảy ra
độ khó/độ rủi ro khi sửa

Nhờ vậy anh sẽ không sa vào việc xử lý những lỗi nhỏ trước trong khi lỗ hổng lớn vẫn nằm đó.

Tình huống thực tế

Một server có root login qua password, cổng dịch vụ thử nghiệm còn mở và nhiều user cũ chưa xóa. Từng thứ riêng lẻ có thể chưa tạo sự cố ngay, nhưng cộng lại chúng biến một máy “vẫn chạy ổn” thành mục tiêu khá dễ bị khai thác.

Lỗi phổ biến

Audit xong nhưng không có ticket hay checklist remediations.
Chỉ tin vào tool scan mà không kiểm tra thực tế.
Xử lý quá nhiều thay đổi bảo mật cùng lúc trên production.
Không lưu lại baseline để audit vòng sau.

Kết bài

Sau bài này, anh sẽ có khung audit Linux thực dụng hơn: kiểm kê, đối chiếu, ưu tiên và theo dõi remediation. Bài tiếp theo sẽ khép lại phase này bằng checklist vận hành production — nơi mọi mảnh kỹ thuật trước đó được gom lại thành thói quen làm việc hàng ngày.