Quản lý log Linux bằng journald: đọc log, lọc sự cố và xây runbook vận hành

14/05/2026

quản lý log Linux bằng journald là kỹ năng nền tảng của sysadmin khi vận hành server production. Khi website lỗi 502, SSH chập chờn, service tự restart hoặc database chậm bất thường, log thường là nơi cho biết chuyện gì đã xảy ra trước khi sự cố bùng lên.

Bài này hướng dẫn thực chiến cách dùng journalctl để đọc log systemd, lọc theo service, theo thời gian, theo mức độ lỗi, bật persistent log, trích xuất bằng chứng và biến thao tác điều tra thành runbook. Mục tiêu không chỉ là biết lệnh, mà là biết đặt câu hỏi đúng khi production có vấn đề.

1. Journald là gì và vì sao sysadmin nên dùng?

systemd-journald là thành phần thu thập log trên nhiều bản phân phối Linux hiện đại như Ubuntu, Debian, RHEL, AlmaLinux và Rocky Linux. Nó nhận log từ kernel, service systemd, syslog socket, stdout/stderr của daemon và lưu dưới dạng journal có metadata.

Khác với việc chỉ đọc file trong /var/log, journald cho phép lọc theo unit, PID, boot ID, priority, khoảng thời gian và xuất JSON để đưa vào pipeline khác. Vì vậy, quản lý log Linux bằng journald giúp rút ngắn thời gian điều tra sự cố.

2. Lab/production mẫu

OS: Ubuntu Server 22.04/24.04 hoặc Debian 12.
Service mẫu: nginx.service, ssh.service, mysql.service.
Quyền: user có sudo để xem log hệ thống đầy đủ.

3. Kiểm tra trạng thái journald

systemctl status systemd-journald
journalctl --disk-usage

Output mẫu:

Archived and active journals take up 256.0M in the file system.

Nếu journal quá lớn, cần cấu hình giới hạn dung lượng thay vì xóa thủ công vô tội vạ.

4. Đọc log cơ bản bằng journalctl

journalctl
journalctl -n 50
journalctl -f

journalctl: đọc toàn bộ log theo thứ tự thời gian.
-n 50: xem 50 dòng gần nhất.
-f: follow log realtime, hữu ích khi restart service hoặc tái hiện lỗi.

5. Lọc log theo service systemd

Khi Nginx lỗi, đừng grep toàn bộ log trước. Hãy lọc đúng unit:

journalctl -u nginx.service -n 100 --no-pager
journalctl -u nginx.service --since "1 hour ago"

Output mẫu:

nginx[1234]: nginx: [emerg] bind() to 0.0.0.0:80 failed (98: Address already in use)

Dòng này cho biết port 80 đã bị process khác chiếm, hướng xử lý là kiểm tra socket thay vì sửa file cấu hình lung tung.

6. Lọc theo thời gian khi có mốc sự cố

Nếu người dùng báo “web lỗi khoảng 14:10”, hãy khoanh vùng:

journalctl --since "2026-05-13 14:00" --until "2026-05-13 14:30" --no-pager

Kết hợp service:

journalctl -u php8.2-fpm --since "2026-05-13 14:00" --until "2026-05-13 14:30"

Cách này giảm nhiễu và giúp timeline rõ hơn trong postmortem.

7. Lọc theo mức độ lỗi

journalctl -p err -b
journalctl -p warning..alert --since today

-p err: chỉ lấy lỗi mức error trở lên.
-b: chỉ boot hiện tại.
warning..alert: lấy dải priority từ warning đến alert.

8. Xem log theo lần boot

journalctl --list-boots
journalctl -b -1 -p err

-b -1 xem boot trước đó. Rất hữu ích khi server vừa reboot bất thường hoặc kernel panic.

9. Bật persistent log để không mất log sau reboot

Một số hệ thống chỉ lưu journal tạm trong /run/log/journal. Kiểm tra và bật lưu bền vững:

sudo mkdir -p /var/log/journal
sudo systemctl restart systemd-journald
journalctl --disk-usage

Cấu hình trong /etc/systemd/journald.conf:

[Journal]
Storage=persistent
SystemMaxUse=1G
SystemKeepFree=2G
MaxRetentionSec=30day

Sau đó:

sudo systemctl restart systemd-journald

10. Troubleshooting tình huống production thường gặp

Service restart liên tục

systemctl status myapp.service
journalctl -u myapp.service --since "30 minutes ago" -p warning..alert

Tìm các dấu hiệu như thiếu biến môi trường, permission denied, port conflict hoặc dependency chưa sẵn sàng.

SSH bị dò mật khẩu

journalctl -u ssh.service --since today | grep -Ei "failed password|invalid user"

Nếu số lượng lớn, cân nhắc tắt password login, bật key-based auth, Fail2ban hoặc firewall allowlist.

Máy chậm bất thường

journalctl -k --since "2 hours ago" -p warning..alert

-k xem kernel log: OOM killer, disk error, network flap thường xuất hiện ở đây.

11. Xuất log để gửi đội khác hoặc lưu bằng chứng

journalctl -u nginx.service --since "2026-05-13 14:00" --until "2026-05-13 14:30" --no-pager > nginx-incident-20260513.log
journalctl -u nginx.service -o json --since "1 hour ago" > nginx.json

Lưu ý che thông tin nhạy cảm trước khi gửi log ra ngoài: token, cookie, IP nội bộ, email khách hàng.

12. Outbound tài liệu chính thống nên đọc

13. Checklist nghiệm thu

Biết xem log realtime bằng journalctl -f.
Lọc được log theo service, thời gian, priority và boot.
Persistent journal đã bật trên server quan trọng.
Dung lượng journal có giới hạn rõ ràng.
Có runbook thu thập log khi incident xảy ra.
Log xuất ra ngoài đã được rà soát thông tin nhạy cảm.

14. Bài tập lab cuối bài

Chạy một service test bị lỗi cấu hình, dùng journalctl -u tìm nguyên nhân.
Restart máy lab, dùng journalctl --list-boots so sánh boot hiện tại và boot trước.
Bật persistent journal và đặt SystemMaxUse.
Tạo file log incident theo khoảng thời gian cụ thể.

Kết luận: quản lý log Linux bằng journald không phải chỉ là nhớ vài câu lệnh. Đây là cách sysadmin dựng timeline, tìm tín hiệu trong nhiễu và đưa ra quyết định an toàn khi hệ thống production đang có vấn đề.

Tác giả: Mạnh Hoàng

Tôi là Hoàng Mạnh, người sáng lập blog SysadminSkills.com. Tôi viết về quản trị hệ thống, bảo mật máy chủ, DevOps và cách ứng dụng AI để tự động hóa công việc IT. Blog này là nơi tôi chia sẻ những gì đã học được từ thực tế – đơn giản, ngắn gọn và áp dụng được ngay. Xem tất cả bài viết của Mạnh Hoàng

Để lại một bình luận Hủy

<p><strong>Bảo mật WordPress production</strong> không chỉ là cài một plugin security rồi để đó. Với website doanh nghiệp, WordPress thường là điểm tiếp xúc trực tiếp với Internet: có form đăng nhập, API, plugin bên thứ ba, theme, upload media, tài khoản biên tập viên và đôi khi còn kết nối CRM, email marketing hoặc thanh toán. Một lỗi nhỏ như plugin quá hạn, quyền file sai hoặc backup không kiểm tra khôi phục có thể biến thành sự cố thật.</p>

<p>Bài này là một hướng dẫn thực chiến để hardening WordPress trên môi trường production. Anh có thể dùng như checklist triển khai mới, checklist rà soát định kỳ hoặc runbook sau khi website vừa bị tấn công. Nội dung tập trung vào các bước có thể kiểm tra được: cập nhật, tài khoản, phân quyền, file permission, WAF, brute force protection, backup, logging, staging và nghiệm thu.</p>

<h2>1. Bối cảnh production: WordPress bị tấn công theo cách nào?</h2>
<p>Trước khi hardening, cần hiểu rủi ro chính. Với WordPress public Internet, các cuộc tấn công phổ biến gồm:</p>
<ul>
<li><strong>Brute force đăng nhập</strong>: bot thử mật khẩu vào <code>/wp-login.php</code> hoặc XML-RPC.</li>
<li><strong>Khai thác plugin/theme lỗi thời</strong>: nhiều lỗ hổng WordPress nằm ở plugin hơn là core.</li>
<li><strong>Upload webshell</strong>: lợi dụng form upload, plugin lỗi hoặc quyền thư mục sai để ghi file PHP độc hại.</li>
<li><strong>Tài khoản admin dùng lại mật khẩu</strong>: mật khẩu rò rỉ từ dịch vụ khác rồi bị credential stuffing.</li>
<li><strong>Supply chain</strong>: theme/plugin nulled, package không rõ nguồn gốc.</li>
<li><strong>Backup không an toàn</strong>: file backup chứa database bị đặt trong webroot và có thể tải trực tiếp.</li>
</ul>
<p>Vì vậy, <strong>bảo mật WordPress production</strong> phải đi theo nhiều lớp: giảm bề mặt tấn công, cập nhật nhanh, hạn chế quyền, theo dõi log và luôn có đường khôi phục.</p>

<h2>2. Lab/production mẫu trong bài</h2>
<p>Giả sử website chạy theo mô hình phổ biến:</p>
<ul>
<li>OS: Ubuntu Server 22.04/24.04 hoặc Debian 12.</li>
<li>Web server: Nginx hoặc Apache.</li>
<li>PHP-FPM 8.2/8.3.</li>
<li>Database: MariaDB/MySQL.</li>
<li>WordPress đặt tại <code>/var/www/example.com/public</code>.</li>
<li>Có CDN/WAF như Cloudflare hoặc WAF phía hosting nếu khả dụng.</li>
</ul>
<p>Nếu anh dùng hosting quản trị sẵn, một số lệnh server-level có thể không chạy được. Khi đó hãy áp dụng phần tương đương trong control panel: file manager, backup, WAF, PHP version, cron và log viewer.</p>

<h2>3. Nguyên tắc nền: cập nhật có kiểm soát, không cập nhật mù</h2>
<p>Cập nhật là việc quan trọng nhất, nhưng production không nên cập nhật bừa lúc cao điểm. Quy trình tối thiểu:</p>
<ol>
<li>Kiểm tra backup gần nhất có khôi phục được.</li>
<li>Clone sang staging nếu site quan trọng.</li>
<li>Cập nhật core, plugin, theme trên staging.</li>
<li>Test login, form, checkout, search, cache, sitemap, bài viết và trang chủ.</li>
<li>Triển khai production vào khung giờ ít truy cập.</li>
<li>Theo dõi error log 30-60 phút sau cập nhật.</li>
</ol>
<p>Với WP-CLI, có thể kiểm tra phiên bản như sau:</p>
<pre><code>cd /var/www/example.com/public
wp core version
wp plugin list
wp theme list</code></pre>
<p>Output mẫu:</p>
<pre><code>+----------------------+----------+-----------+---------+
| name                 | status   | update    | version |
+----------------------+----------+-----------+---------+
| wordpress-seo        | active   | available | 24.8    |
| litespeed-cache      | active   | none      | 6.5.4   |
+----------------------+----------+-----------+---------+</code></pre>
<p>Plugin có update security nên được ưu tiên. Nếu plugin không còn duy trì, hãy lập kế hoạch thay thế thay vì chỉ “để đó vì vẫn chạy”.</p>

<h2>4. Tài khoản admin: ít quyền, bắt buộc 2FA</h2>
<p>Không nên dùng chung một tài khoản admin cho nhiều người. Checklist tài khoản:</p>
<ul>
<li>Mỗi người một tài khoản riêng.</li>
<li>Chỉ cấp role Administrator cho người thật sự cần.</li>
<li>Biên tập nội dung dùng Editor/Author, không dùng admin.</li>
<li>Bật 2FA cho admin và editor quan trọng.</li>
<li>Xóa tài khoản cũ của nhân sự đã nghỉ.</li>
<li>Không dùng username dễ đoán như <code>admin</code> cho tài khoản quản trị mới.</li>
</ul>
<p>Dùng WP-CLI để liệt kê user:</p>
<pre><code>wp user list --fields=ID,user_login,user_email,roles</code></pre>
<p>Nếu cần hạ quyền một user:</p>
<pre><code>wp user set-role editor_user editor</code></pre>
<p>Việc này giảm thiệt hại khi một tài khoản biên tập bị lộ. Đây là nguyên tắc least privilege trong vận hành.</p>

<h2>5. Chống brute force và giới hạn bề mặt đăng nhập</h2>
<p>WordPress mặc định có endpoint đăng nhập rất dễ bị bot quét. Một cấu hình production nên có ít nhất ba lớp:</p>
<ul>
<li>Rate limit tại WAF/CDN hoặc web server.</li>
<li>Plugin giới hạn login attempt hoặc security suite đáng tin cậy.</li>
<li>2FA cho tài khoản có quyền cao.</li>
</ul>
<p>Nếu dùng Nginx, có thể rate limit cơ bản cho <code>wp-login.php</code>:</p>
<pre><code>limit_req_zone $binary_remote_addr zone=wplogin:10m rate=5r/m;

server {
    location = /wp-login.php {
        limit_req zone=wplogin burst=10 nodelay;
        include fastcgi_params;
        fastcgi_pass unix:/run/php/php8.2-fpm.sock;
    }
}</code></pre>
<p>Giải thích:</p>
<ul>
<li><code>rate=5r/m</code>: mỗi IP khoảng 5 request/phút.</li>
<li><code>burst=10</code>: cho phép một lượng request ngắn hạn trước khi chặn.</li>
<li>Cần test kỹ để tránh chặn nhầm admin thật, đặc biệt nếu website đứng sau proxy/CDN.</li>
</ul>
<p>Nếu dùng Cloudflare, nên tạo rule riêng cho <code>/wp-login.php</code> và <code>/xmlrpc.php</code>: Managed Challenge, rate limit hoặc chỉ allow IP quản trị nếu mô hình vận hành cho phép.</p>

<h2>6. XML-RPC: chỉ bật khi thật sự cần</h2>
<p><code>xmlrpc.php</code> thường bị dùng để brute force hoặc DDoS amplification. Nếu website không dùng Jetpack, app mobile hoặc tích hợp cũ cần XML-RPC, nên chặn.</p>
<p>Nginx:</p>
<pre><code>location = /xmlrpc.php {
    deny all;
    access_log off;
    log_not_found off;
}</code></pre>
<p>Apache <code>.htaccess</code>:</p>
<pre><code><Files xmlrpc.php>
    Require all denied
</Files></code></pre>
<p>Sau khi chặn, test:</p>
<pre><code>curl -I https://example.com/xmlrpc.php</code></pre>
<p>Kỳ vọng nhận <code>403 Forbidden</code> hoặc bị WAF challenge, không phải <code>200 OK</code>.</p>

<h2>7. File permission: không để web server ghi lung tung</h2>
<p>Quyền file sai là nguyên nhân phổ biến khiến attacker ghi webshell sau khi khai thác một plugin. Mục tiêu là chỉ cho PHP/web server ghi nơi cần thiết, thường là <code>wp-content/uploads</code>, cache và một số thư mục plugin cụ thể.</p>
<p>Baseline tham khảo:</p>
<pre><code>cd /var/www/example.com/public
find . -type d -exec chmod 755 {} \;
find . -type f -exec chmod 644 {} \;
chmod 600 wp-config.php</code></pre>
<p>Owner nên tách rõ user deploy và user web server. Ví dụ:</p>
<pre><code>sudo chown -R deploy:www-data /var/www/example.com/public
sudo find /var/www/example.com/public -type d -exec chmod 755 {} \;
sudo find /var/www/example.com/public -type f -exec chmod 644 {} \;</code></pre>
<p>Lưu ý: đây là baseline. Một số plugin cache cần quyền ghi vào thư mục riêng. Đừng cấp <code>777</code> để “cho chạy được”; hãy xác định đúng thư mục cần ghi.</p>

<h2>8. Chặn PHP execution trong uploads</h2>
<p>Thư mục upload không nên thực thi PHP. Đây là lớp bảo vệ quan trọng nếu attacker upload được file độc hại.</p>
<p>Nginx:</p>
<pre><code>location ~* /wp-content/uploads/.*\.php$ {
    deny all;
}</code></pre>
<p>Apache, tạo file <code>wp-content/uploads/.htaccess</code>:</p>
<pre><code><FilesMatch "\.php$">
    Require all denied
</FilesMatch></code></pre>
<p>Test bằng cách tạo file PHP giả trong môi trường staging, truy cập URL và xác nhận bị chặn. Không test kiểu này trên production nếu không kiểm soát chặt.</p>

<h2>9. Bảo vệ wp-config.php và khóa salt</h2>
<p><code>wp-config.php</code> chứa credential database, salt và cấu hình quan trọng. Kiểm tra:</p>
<pre><code>ls -lah wp-config.php
grep -E "AUTH_KEY|SECURE_AUTH_KEY|LOGGED_IN_KEY|NONCE_KEY" wp-config.php</code></pre>
<p>Nếu nghi ngờ bị lộ phiên đăng nhập, thay salt bằng giá trị mới từ công cụ chính thức của WordPress:</p>
<ul>
<li><a href="https://api.wordpress.org/secret-key/1.1/salt/" target="_blank" rel="noopener">WordPress.org Secret Key Service</a></li>
</ul>
<p>Thay salt sẽ buộc user đăng nhập lại. Đây là thao tác hữu ích sau sự cố tài khoản hoặc nghi ngờ cookie/session bị lộ.</p>

<h2>10. Tắt chỉnh sửa file từ dashboard</h2>
<p>Không nên cho phép sửa theme/plugin trực tiếp trong wp-admin trên production. Thêm vào <code>wp-config.php</code>:</p>
<pre><code>define('DISALLOW_FILE_EDIT', true);</code></pre>
<p>Nếu muốn chặn cài/cập nhật từ dashboard và chỉ deploy qua pipeline, có thể dùng:</p>
<pre><code>define('DISALLOW_FILE_MODS', true);</code></pre>
<p>Tùy mô hình vận hành mà chọn. Với site nhỏ, <code>DISALLOW_FILE_EDIT</code> gần như luôn nên bật; <code>DISALLOW_FILE_MODS</code> cần cân nhắc vì nó ảnh hưởng update plugin/theme.</p>

<h2>11. Backup: phải có restore test, không chỉ có file backup</h2>
<p>Backup không được xem là hoàn thành nếu chưa từng restore thử. Một chiến lược tối thiểu:</p>
<ul>
<li>Database backup hằng ngày.</li>
<li>File/media backup hằng ngày hoặc theo tần suất cập nhật.</li>
<li>Giữ nhiều phiên bản: 7 ngày gần nhất, 4 tuần, 3-6 tháng tùy yêu cầu.</li>
<li>Lưu một bản ngoài server chính: S3/Object Storage, backup server, hoặc dịch vụ backup.</li>
<li>Mã hóa backup nếu chứa dữ liệu nhạy cảm.</li>
</ul>
<p>Ví dụ backup database bằng WP-CLI:</p>
<pre><code>mkdir -p /backup/example.com
wp db export /backup/example.com/db-$(date +%F-%H%M).sql</code></pre>
<p>Nén thư mục upload:</p>
<pre><code>tar -czf /backup/example.com/uploads-$(date +%F).tar.gz wp-content/uploads</code></pre>
<p>Kiểm tra file backup:</p>
<pre><code>ls -lh /backup/example.com
gzip -t /backup/example.com/uploads-2026-05-11.tar.gz</code></pre>
<p>Quan trọng: không đặt backup trong webroot như <code>/public/backup.zip</code>. Nếu bắt buộc lưu tạm, phải chặn truy cập web và xóa ngay sau khi tải.</p>

<h2>12. Logging và giám sát dấu hiệu bất thường</h2>
<p>Một site WordPress production nên theo dõi ít nhất:</p>
<ul>
<li>Web server access/error log.</li>
<li>PHP-FPM error log.</li>
<li>WordPress debug log khi cần điều tra, không bật debug hiển thị ra màn hình.</li>
<li>Log đăng nhập thất bại/thành công bất thường.</li>
<li>File integrity hoặc thay đổi file trong core/plugin/theme.</li>
</ul>
<p>Cấu hình debug an toàn trong <code>wp-config.php</code> khi cần troubleshooting:</p>
<pre><code>define('WP_DEBUG', true);
define('WP_DEBUG_LOG', true);
define('WP_DEBUG_DISPLAY', false);
@ini_set('display_errors', 0);</code></pre>
<p>Sau khi xử lý xong, nên tắt debug nếu không còn cần. Log debug có thể chứa thông tin nhạy cảm hoặc làm đầy disk.</p>
<p>Kiểm tra lỗi PHP gần nhất:</p>
<pre><code>sudo journalctl -u php8.2-fpm --since "1 hour ago" --no-pager
sudo tail -100 /var/log/nginx/error.log</code></pre>

<h2>13. Kiểm tra file lạ và webshell cơ bản</h2>
<p>Khi nghi ngờ bị tấn công, kiểm tra file PHP trong uploads:</p>
<pre><code>find wp-content/uploads -type f -name "*.php" -print</code></pre>
<p>Kiểm tra file mới thay đổi trong 2 ngày:</p>
<pre><code>find . -type f -mtime -2 -print | sort</code></pre>
<p>Tìm các pattern nguy hiểm thường gặp trong webshell:</p>
<pre><code>grep -RIn --include="*.php" "eval(base64_decode\|shell_exec\|passthru\|assert(" wp-content 2>/dev/null | head -50</code></pre>
<p>Lưu ý: grep chỉ là bước sàng lọc, có thể false positive hoặc bỏ sót mã độc obfuscation phức tạp. Với sự cố nghiêm trọng, nên restore từ bản sạch, thay toàn bộ credential và rà soát log truy cập.</p>

<h2>14. WAF/CDN: lớp phòng thủ trước khi request vào server</h2>
<p>WAF không thay thế cập nhật và hardening, nhưng giúp giảm đáng kể bot, exploit phổ biến và brute force. Checklist WAF:</p>
<ul>
<li>Bật managed rules cho WordPress nếu nhà cung cấp hỗ trợ.</li>
<li>Challenge hoặc rate limit <code>/wp-login.php</code>.</li>
<li>Block hoặc challenge <code>/xmlrpc.php</code> nếu không dùng.</li>
<li>Chặn truy cập trực tiếp vào file nhạy cảm: <code>.env</code>, backup zip/sql, git directory.</li>
<li>Cho phép IP thật đi qua header đúng nếu server nằm sau proxy.</li>
</ul>
<p>Tài liệu nên đọc thêm:</p>
<ul>
<li><a href="https://wordpress.org/documentation/article/hardening-wordpress/" target="_blank" rel="noopener">Hardening WordPress – WordPress.org</a></li>
<li><a href="https://developer.wordpress.org/advanced-administration/security/hardening/" target="_blank" rel="noopener">WordPress Developer Resources: Security hardening</a></li>
<li><a href="https://owasp.org/www-project-top-ten/" target="_blank" rel="noopener">OWASP Top 10</a></li>
<li><a href="https://developers.cloudflare.com/waf/" target="_blank" rel="noopener">Cloudflare WAF documentation</a></li>
</ul>

<h2>15. Troubleshooting lỗi thường gặp sau khi hardening</h2>
<h3>Admin không đăng nhập được sau khi bật WAF/rate limit</h3>
<ul>
<li>Kiểm tra IP thật có bị nhận nhầm do proxy/CDN không.</li>
<li>Whitelist IP quản trị tạm thời để xử lý.</li>
<li>Giảm rule từ block sang challenge/log trước khi block cứng.</li>
</ul>

<h3>Plugin không upload hoặc không ghi cache</h3>
<ul>
<li>Kiểm tra thư mục plugin/cache cần quyền ghi cụ thể.</li>
<li>Không cấp quyền toàn site thành <code>777</code>.</li>
<li>Xem log PHP-FPM và web server để biết permission denied ở path nào.</li>
</ul>

<h3>Chặn XML-RPC làm Jetpack/app mobile lỗi</h3>
<ul>
<li>Xác nhận website có thật sự cần XML-RPC không.</li>
<li>Nếu cần, chỉ allow IP/dải IP của dịch vụ liên quan hoặc dùng rule challenge phù hợp.</li>
</ul>

<h3>Backup chạy thành công nhưng restore lỗi</h3>
<ul>
<li>Kiểm tra charset/collation database.</li>
<li>Kiểm tra thiếu file upload hoặc thiếu plugin mu-plugin.</li>
<li>Kiểm tra domain hard-code trong database bằng <code>wp search-replace</code> trên staging.</li>
</ul>

<h2>16. Checklist nghiệm thu bảo mật WordPress production</h2>
<ul>
<li>Core, plugin, theme đang ở phiên bản được hỗ trợ.</li>
<li>Không có plugin/theme nulled hoặc không rõ nguồn.</li>
<li>Admin có 2FA, không dùng chung tài khoản.</li>
<li>Role user đúng theo nhu cầu, ít quyền nhất có thể.</li>
<li><code>DISALLOW_FILE_EDIT</code> đã bật.</li>
<li><code>xmlrpc.php</code> bị chặn nếu không dùng.</li>
<li><code>wp-content/uploads</code> không thực thi PHP.</li>
<li>File permission không dùng <code>777</code>.</li>
<li>Backup có bản ngoài server và đã restore test.</li>
<li>WAF/rate limit bảo vệ endpoint đăng nhập.</li>
<li>Log web/PHP/WordPress được theo dõi sau thay đổi lớn.</li>
<li>Có runbook xử lý khi nghi ngờ bị hack: cô lập, backup forensic, restore sạch, đổi credential, rà soát log.</li>
</ul>

<h2>17. Bài tập lab cuối bài</h2>
<ol>
<li>Dựng một site WordPress staging hoặc local.</li>
<li>Bật <code>DISALLOW_FILE_EDIT</code> và xác nhận menu sửa file biến mất.</li>
<li>Chặn PHP execution trong <code>wp-content/uploads</code>, rồi test bằng file PHP giả trên staging.</li>
<li>Tạo backup database bằng WP-CLI, restore sang một database lab.</li>
<li>Bật 2FA cho tài khoản admin test.</li>
<li>Tạo rule WAF hoặc rate limit cho <code>/wp-login.php</code>.</li>
<li>Ghi lại checklist nghiệm thu và kết quả từng mục.</li>
</ol>

<p><strong>Kết luận:</strong> bảo mật WordPress production là một quy trình vận hành liên tục, không phải một lần cài plugin. Khi anh kết hợp cập nhật có kiểm soát, phân quyền chặt, file permission đúng, WAF, backup có restore test và theo dõi log, website sẽ có khả năng chống chịu tốt hơn rất nhiều trước bot tự động lẫn sự cố vận hành thật.</p></a></li>
<li><a class="wp-block-latest-posts__post-title" href="https://sysadminskills.com/linux-patch-management-cap-nhat-server-production/">Linux Patch Management: Quy trình cập nhật an toàn cho server production</a></li>
</ul></div>
</section><section id="search-1" class="widget widget_search">
<form role="search" method="get" class="search-form clear" action="https://sysadminskills.com/">
	<label>
		<span class="screen-reader-text">Kết quả tìm kiếm cho:</span>
		<input type="search" id="s" class="search-field" placeholder="Tìm …" value="" name="s" />
	</label>
	<button type="submit" class="search-submit">
		<i class="material-icons md-20 md-middle"></i> <span class="screen-reader-text">
		Tìm</span>
	</button>
</form>
</section>
		<section id="recent-posts-1" class="widget widget_recent_entries">
		<h3 class="widget-title"><span>Bài viết mới</span></h3>
		<ul>
											<li>
					<a href="https://sysadminskills.com/quan-ly-log-linux-bang-journald/" aria-current="page">Quản lý log Linux bằng journald: đọc log, lọc sự cố và xây runbook vận hành</a>
									</li>
											<li>
					<a href="https://sysadminskills.com/danh-gia-ban-va-bao-mat-truoc-khi-trien-khai/">Đánh giá bản vá bảo mật trước khi triển khai: quy trình thực chiến cho đội IT</a>
									</li>
											<li>
					<a href="https://sysadminskills.com/cloud-backup-strategy-sao-luu-ha-tang-production/">Cloud Backup Strategy: Thiết kế sao lưu an toàn cho hạ tầng production</a>
									</li>
											<li>
					<a href="https://sysadminskills.com/bao-mat-wordpress-production-checklist-hardening/"><a href="#content" class="button-secondary screen-reader-text skiplink" onclick="if (tinymce) { tinymce.execCommand( 'mceFocus', false, 'content' ); }">Bỏ qua để biên tập</a>
		</div>
	<div class="inside">
		<div id="edit-slug-box" class="hide-if-no-js">
			<strong>Đường dẫn:</strong>
<span id="sample-permalink"><a href="https://sysadminskills.com/?p=2080&preview=true" target='wp-preview-2080'>https://sysadminskills.com/<span id="editable-post-name">bao-mat-wordpres…cklist-hardening</span>/</a></span>
‎<span id="edit-slug-buttons"><button type="button" class="edit-slug button button-small hide-if-no-js" aria-label="Sửa đường dẫn cố định">Chỉnh sửa</button></span>
<span id="editable-post-name-full">bao-mat-wordpress-production-checklist-hardening</span>
	</div>
			</div>
	<input type="hidden" id="samplepermalinknonce" name="samplepermalinknonce" value="5731013aea" /></div>
	<div id="postdivrich" class="postarea wp-editor-expand">

<div id="wp-content-wrap" class="wp-core-ui wp-editor-wrap html-active has-dfw"><link rel='stylesheet' id='editor-buttons-css' href='https://sysadminskills.com/wp-includes/css/editor.min.css?ver=6.9.4' media='all' />
<div id="wp-content-editor-tools" class="wp-editor-tools hide-if-no-js"><div id="wp-content-media-buttons" class="wp-media-buttons"><button type="button" id="insert-media-button" class="button insert-media add_media" data-editor="content" aria-haspopup="dialog" aria-controls="wp-media-modal"><span class="wp-media-buttons-icon" aria-hidden="true"></span> Thêm tệp</button></div>
<div class="wp-editor-tabs"></div>
</div>
<div id="wp-content-editor-container" class="wp-editor-container"><div id="ed_toolbar" class="quicktags-toolbar hide-if-no-js"></div><textarea class="wp-editor-area" style="height: 300px" cols="40" name="content" id="content"><p><strong>Bảo mật WordPress production</strong> không chỉ là cài một plugin security rồi để đó. Với website doanh nghiệp, WordPress thường là điểm tiếp xúc trực tiếp với Internet: có form đăng nhập, API, plugin bên thứ ba, theme, upload media, tài khoản biên tập viên và đôi khi còn kết nối CRM, email marketing hoặc thanh toán. Một lỗi nhỏ như plugin quá hạn, quyền file sai hoặc backup không kiểm tra khôi phục có thể biến thành sự cố thật.</p>

</section><section id="categories-1" class="widget widget_categories"><h3 class="widget-title"><span>Danh mục</span></h3>
			<ul>
					<li class="cat-item cat-item-28"><a href="https://sysadminskills.com/cloud-platform/">Cloud Platform</a> (12)
</li>
	<li class="cat-item cat-item-29"><a href="https://sysadminskills.com/system-admin/">System Admin</a> (135)
</li>
	<li class="cat-item cat-item-30"><a href="https://sysadminskills.com/tin-cong-nghe/">Tin Công Nghệ</a> (9)
</li>
	<li class="cat-item cat-item-31"><a href="https://sysadminskills.com/wordpress/">Wordpress</a> (8)
</li>
			</ul>

</section>	
	</aside>

</div>
		</div>
	</div>

<div class="footer-copy">
			<div class="container">
				<div class="row">
					<div class="col-6 col-sm-12">
						<div class="site-credits">© 2026 SysAdmin Skills</div>
					</div>
					<div class="col-6 col-sm-12">
						<div class="site-info">
							<a href="https://vi.wordpress.org/">Cung cấp bởi WordPress</a>
							<span class="sep"> / </span>
							<a href="https://www.designlabthemes.com/" rel="nofollow">Giao diện thiết kế bởi Design Lab</a>
						</div>
					</div>
				</div>
			</div>
		</div>

</footer>
</div>

<span id="mobile-sidebar-overlay" on="tap:AMP.setState({ampmenu: !ampmenu})" class="mobile-sidebar-overlay"></span>
<script type="speculationrules">
{"prefetch":[{"source":"document","where":{"and":[{"href_matches":"/*"},{"not":{"href_matches":["/wp-*.php","/wp-admin/*","/wp-content/uploads/*","/wp-content/*","/wp-content/plugins/*","/wp-content/themes/type/*","/*\\?(.+)"]}},{"not":{"selector_matches":"a[rel~=\"nofollow\"]"}},{"not":{"selector_matches":".no-prefetch, .no-prefetch a"}}]},"eagerness":"conservative"}]}
</script>

<style>
		.googlesitekit-sign-in-with-google__frontend-output-button{max-width:320px}
		</style>
		<script type="text/javascript" src="https://accounts.google.com/gsi/client"></script>
<script type="text/javascript">
/* <![CDATA[ */
(()=>{async function handleCredentialResponse(response){try{const res=await fetch('https://sysadminskills.com/wp-login.php?action=googlesitekit_auth',{method:'POST',headers:{'Content-Type':'application/x-www-form-urlencoded'},body:new URLSearchParams(response)});/* Preserve comment text in case of redirect after login on a page with a Sign in with Google button in the WordPress comments. */ const commentText=document.querySelector('#comment')?.value;const postId=document.querySelectorAll('.googlesitekit-sign-in-with-google__comments-form-button')?.[0]?.className?.match(/googlesitekit-sign-in-with-google__comments-form-button-postid-(\d+)/)?.[1];if(!! commentText?.length){sessionStorage.setItem(`siwg-comment-text-${postId}`,commentText);}location.reload();}catch(error){console.error(error);}}if(typeof google !=='undefined'){google.accounts.id.initialize({client_id:'865512416441-cqq62sm23boht4ll73ji968qop62ufqb.apps.googleusercontent.com',callback:handleCredentialResponse,library_name:'Site-Kit'});}const defaultButtonOptions={"theme":"outline","text":"signin_with","shape":"rectangular"};document.querySelectorAll('.googlesitekit-sign-in-with-google__frontend-output-button').forEach((siwgButtonDiv)=>{const buttonOptions={shape:siwgButtonDiv.getAttribute('data-googlesitekit-siwg-shape')|| defaultButtonOptions.shape,text:siwgButtonDiv.getAttribute('data-googlesitekit-siwg-text')|| defaultButtonOptions.text,theme:siwgButtonDiv.getAttribute('data-googlesitekit-siwg-theme')|| defaultButtonOptions.theme,};if(typeof google !=='undefined'){google.accounts.id.renderButton(siwgButtonDiv,buttonOptions);}});/* If there is a matching saved comment text in sessionStorage,restore it to the comment field and remove it from sessionStorage. */ const postId=document.body.className.match(/postid-(\d+)/)?.[1];const commentField=document.querySelector('#comment');const commentText=sessionStorage.getItem(`siwg-comment-text-${postId}`);if(commentText?.length && commentField && !! postId){commentField.value=commentText;sessionStorage.removeItem(`siwg-comment-text-${postId}`);}})();
/* ]]> */
</script>

<script type="text/javascript" src="https://sysadminskills.com/wp-includes/js/dist/hooks.min.js?ver=dd5603f07f9220ed27f1" id="wp-hooks-js"></script>
<script type="text/javascript" src="https://sysadminskills.com/wp-includes/js/dist/i18n.min.js?ver=c26c3dc7bed366793375" id="wp-i18n-js"></script>
<script type="text/javascript" id="wp-i18n-js-after">
/* <![CDATA[ */
wp.i18n.setLocaleData( { 'text direction\u0004ltr': [ 'ltr' ] } );
//# sourceURL=wp-i18n-js-after
/* ]]> */
</script>
<script type="text/javascript" src="https://sysadminskills.com/wp-content/plugins/contact-form-7/includes/swv/js/index.js?ver=6.1.5" id="swv-js"></script>
<script type="text/javascript" id="contact-form-7-js-translations">
/* <![CDATA[ */
( function( domain, translations ) {
	var localeData = translations.locale_data[ domain ] || translations.locale_data.messages;
	localeData[""].domain = domain;
	wp.i18n.setLocaleData( localeData, domain );
} )( "contact-form-7", {"translation-revision-date":"2024-08-11 13:44:17+0000","generator":"GlotPress\/4.0.1","domain":"messages","locale_data":{"messages":{"":{"domain":"messages","plural-forms":"nplurals=1; plural=0;","lang":"vi_VN"},"This contact form is placed in the wrong place.":["Bi\u1ec3u m\u1eabu li\u00ean h\u1ec7 n\u00e0y \u0111\u01b0\u1ee3c \u0111\u1eb7t sai v\u1ecb tr\u00ed."],"Error:":["L\u1ed7i:"]}},"comment":{"reference":"includes\/js\/index.js"}} );
//# sourceURL=contact-form-7-js-translations
/* ]]> */
</script>
<script type="text/javascript" id="contact-form-7-js-before">
/* <![CDATA[ */
var wpcf7 = {
    "api": {
        "root": "https:\/\/sysadminskills.com\/wp-json\/",
        "namespace": "contact-form-7\/v1"
    },
    "cached": 1
};
//# sourceURL=contact-form-7-js-before
/* ]]> */
</script>
<script type="text/javascript" src="https://sysadminskills.com/wp-content/plugins/contact-form-7/includes/js/index.js?ver=6.1.5" id="contact-form-7-js"></script>
<script type="text/javascript" src="https://sysadminskills.com/wp-content/themes/type/assets/js/script.js?ver=20210930" id="type-script-js"></script>
<script type="text/javascript" src="https://sysadminskills.com/wp-includes/js/comment-reply.min.js?ver=6.9.4" id="comment-reply-js" async="async" data-wp-strategy="async" fetchpriority="low"></script>
<script type="text/javascript" src="https://sysadminskills.com/wp-content/plugins/google-site-kit/dist/assets/js/googlesitekit-events-provider-contact-form-7-08e8756782316cb65854.js" id="googlesitekit-events-provider-contact-form-7-js" defer></script>
<script id="wp-emoji-settings" type="application/json">
{"baseUrl":"https://s.w.org/images/core/emoji/17.0.2/72x72/","ext":".png","svgUrl":"https://s.w.org/images/core/emoji/17.0.2/svg/","svgExt":".svg","source":{"concatemoji":"https://sysadminskills.com/wp-includes/js/wp-emoji-release.min.js?ver=6.9.4"}}
</script>
<script type="module">
/* <![CDATA[ */
/*! This file is auto-generated */
const a=JSON.parse(document.getElementById("wp-emoji-settings").textContent),o=(window._wpemojiSettings=a,"wpEmojiSettingsSupports"),s=["flag","emoji"];function i(e){try{var t={supportTests:e,timestamp:(new Date).valueOf()};sessionStorage.setItem(o,JSON.stringify(t))}catch(e){}}function c(e,t,n){e.clearRect(0,0,e.canvas.width,e.canvas.height),e.fillText(t,0,0);t=new Uint32Array(e.getImageData(0,0,e.canvas.width,e.canvas.height).data);e.clearRect(0,0,e.canvas.width,e.canvas.height),e.fillText(n,0,0);const a=new Uint32Array(e.getImageData(0,0,e.canvas.width,e.canvas.height).data);return t.every((e,t)=>e===a[t])}function p(e,t){e.clearRect(0,0,e.canvas.width,e.canvas.height),e.fillText(t,0,0);var n=e.getImageData(16,16,1,1);for(let e=0;e<n.data.length;e++)if(0!==n.data[e])return!1;return!0}function u(e,t,n,a){switch(t){case"flag":return n(e,"\ud83c\udff3\ufe0f\u200d\u26a7\ufe0f","\ud83c\udff3\ufe0f\u200b\u26a7\ufe0f")?!1:!n(e,"\ud83c\udde8\ud83c\uddf6","\ud83c\udde8\u200b\ud83c\uddf6")&&!n(e,"\ud83c\udff4\udb40\udc67\udb40\udc62\udb40\udc65\udb40\udc6e\udb40\udc67\udb40\udc7f","\ud83c\udff4\u200b\udb40\udc67\u200b\udb40\udc62\u200b\udb40\udc65\u200b\udb40\udc6e\u200b\udb40\udc67\u200b\udb40\udc7f");case"emoji":return!a(e,"\ud83e\u1fac8")}return!1}function f(e,t,n,a){let r;const o=(r="undefined"!=typeof WorkerGlobalScope&&self instanceof WorkerGlobalScope?new OffscreenCanvas(300,150):document.createElement("canvas")).getContext("2d",{willReadFrequently:!0}),s=(o.textBaseline="top",o.font="600 32px Arial",{});return e.forEach(e=>{s[e]=t(o,e,n,a)}),s}function r(e){var t=document.createElement("script");t.src=e,t.defer=!0,document.head.appendChild(t)}a.supports={everything:!0,everythingExceptFlag:!0},new Promise(t=>{let n=function(){try{var e=JSON.parse(sessionStorage.getItem(o));if("object"==typeof e&&"number"==typeof e.timestamp&&(new Date).valueOf()<e.timestamp+604800&&"object"==typeof e.supportTests)return e.supportTests}catch(e){}return null}();if(!n){if("undefined"!=typeof Worker&&"undefined"!=typeof OffscreenCanvas&&"undefined"!=typeof URL&&URL.createObjectURL&&"undefined"!=typeof Blob)try{var e="postMessage("+f.toString()+"("+[JSON.stringify(s),u.toString(),c.toString(),p.toString()].join(",")+"));",a=new Blob([e],{type:"text/javascript"});const r=new Worker(URL.createObjectURL(a),{name:"wpTestEmojiSupports"});return void(r.onmessage=e=>{i(n=e.data),r.terminate(),t(n)})}catch(e){}i(n=f(s,u,c,p))}t(n)}).then(e=>{for(const n in e)a.supports[n]=e[n],a.supports.everything=a.supports.everything&&a.supports[n],"flag"!==n&&(a.supports.everythingExceptFlag=a.supports.everythingExceptFlag&&a.supports[n]);var t;a.supports.everythingExceptFlag=a.supports.everythingExceptFlag&&!a.supports.flag,a.supports.everything||((t=a.source||{}).concatemoji?r(t.concatemoji):t.wpemoji&&t.twemoji&&(r(t.twemoji),r(t.wpemoji)))});
//# sourceURL=https://sysadminskills.com/wp-includes/js/wp-emoji-loader.min.js
/* ]]> */
</script>

</body>
</html>

<script src="/cdn-cgi/scripts/7d0fa10a/cloudflare-static/rocket-loader.min.js" data-cf-settings="fb7a15547eeda8f42b1f426c-|49" defer></script>