Bật VM Security Monitoring cho một VPS, mở báo cáo lần đầu và thấy con số lỗ hổng lên tới hàng nghìn là chuyện bình thường. Bài này hướng dẫn quý Khách hàng đọc báo cáo an ninh theo đúng thứ tự: lỗ hổng nào phải xử lý trước, lỗ hổng nào chờ được, và vì sao một con số lớn chưa có nghĩa là máy chủ đã bị tấn công.
Mục lục
1. Vì sao báo cáo hiện hàng nghìn lỗ hổng
Lỗ hổng là lỗi trong một phần mềm mà kẻ xấu có thể lợi dụng để vào máy hoặc phá máy. Mỗi lỗ hổng đã công bố mang một mã số chung toàn thế giới gọi là CVE, ví dụ CVE-2024-6387. Báo cáo an ninh đếm tất cả các mã CVE đã biết của những gói phần mềm đang cài trên máy chủ.
Một bản hệ điều hành cài mặc định đã có vài trăm gói phần mềm, và một gói lớn như nhân hệ điều hành (kernel) có thể gắn với hàng trăm mã CVE. Vì vậy con số tổng rất dễ lên tới bốn chữ số ngay ở lượt quét đầu tiên, kể cả trên một máy chủ mới dựng.
Con số đó trả lời câu hỏi "máy chủ đã cập nhật tới đâu", không trả lời câu hỏi "máy chủ đã bị xâm nhập chưa". Hai câu hỏi khác nhau: câu thứ hai nằm ở khối đăng nhập, xem mục 5.
2. Thứ tự đọc báo cáo
Trang chi tiết của mỗi VPS trong Portal xếp sẵn theo thứ tự nên đọc. Quý Khách hàng đọc từ trên xuống, không cần mở bảng dài ngay từ đầu.
| Thứ tự | Khối | Việc cần làm khi đọc |
|---|---|---|
| 1 | Cần làm gì | Portal đã tổng hợp kết quả quét thành vài việc cụ thể, gắn nhãn Cần làm ngay, Nên làm hoặc Đang ổn. Đọc khối này trước, phần lớn trường hợp là đủ |
| 2 | Lỗ hổng - ô đã bị khai thác thực tế | Nhóm phải xử lý trước tiên. Xem mục 3 |
| 3 | Lỗ hổng - mức Nghiêm trọng/Cao | Xếp lịch nâng cấp trong tuần |
| 4 | Đăng nhập thành công và Dò mật khẩu | Hai khối này đọc cùng nhau, xem mục 5 |
| 5 | Cấu hình an toàn | Khuyến nghị cứng hoá theo chuẩn quốc tế. Là việc nên làm dần, không phải lỗi của máy chủ |
| 6 | Cảnh báo khác | Các thay đổi hệ thống agent ghi nhận được, ví dụ cài hoặc gỡ gói phần mềm. Dùng để tra cứu khi cần |
Nhóm đã bị khai thác thực tế là nhóm quan trọng nhất trong cả báo cáo. Đó là những mã CVE nằm trong danh sách KEV của cơ quan an ninh mạng Mỹ (CISA) - danh sách các lỗ hổng đã có ghi nhận bị dùng để tấn công thật trên Internet, chứ không chỉ tồn tại trên lý thuyết. Một lỗ hổng điểm 9,8 chưa ai khai thác vẫn ít gấp gáp hơn một lỗ hổng điểm 7,5 đang bị khai thác hằng ngày.
3. Một dòng trong bảng lỗ hổng cho biết gì
Báo cáo gom lỗ hổng theo gói phần mềm, không bắt quý Khách hàng tra từng mã CVE. Mỗi dòng cho biết gói nào đang cài bản nào và cần nâng lên bản nào, kèm số lỗ hổng theo mức và số lỗ hổng đã bị khai thác thực tế.
Cách dùng bảng này rất gọn: nhìn cột gói phần mềm, chọn những gói có số ở cột đã bị khai thác thực tế, nâng cấp các gói đó trước. Một lệnh cập nhật thường vá nhiều gói cùng lúc, nên số lỗ hổng tổng giảm nhanh hơn nhiều so với cảm giác ban đầu.
Ai cần tra từng mã CVE thì mở danh sách CVE ngay dưới bảng: có mức độ, điểm nguy hiểm theo thang 0-10, gói chứa lỗ hổng, bản cần nâng lên và ngày công bố, lọc được theo mức độ. Phần này dành cho người làm kỹ thuật cần đối chiếu, không bắt buộc đọc.
4. Nâng cấp mà không làm gián đoạn dịch vụ
Khối Cần làm gì có sẵn danh sách gói nên nâng trước và lệnh cập nhật đúng với hệ điều hành của máy chủ, nên phần việc còn lại chủ yếu là chọn thời điểm. Bốn điều nên nhớ:
- Chạy vào giờ ít người dùng. Cập nhật phần mềm có thể khởi động lại dịch vụ đang chạy, website vì vậy gián đoạn vài giây tới vài phút.
- Sao lưu trước khi nâng cấp. Đây là nguyên tắc chung cho mọi thay đổi trên máy chủ, không riêng việc vá lỗ hổng.
- Lỗ hổng của nhân hệ điều hành chỉ được vá thật sau khi khởi động lại máy. Cập nhật xong mà chưa khởi động lại thì lượt quét sau vẫn còn đúng những lỗ hổng đó. Portal nhắc riêng khi có gói nhân cần nâng.
- Vá theo đợt, đừng chờ rảnh để làm một lần. Nhóm đã bị khai thác thực tế xử lý ngay; mức Nghiêm trọng/Cao xếp vào tuần; mức Trung bình và Thấp gộp vào đợt bảo trì định kỳ.
Việc nâng cấp do quý Khách hàng thực hiện trên máy chủ của mình. Dịch vụ giám sát chỉ theo dõi và báo cáo, không tự vá và không can thiệp vào phần mềm đang chạy.
5. Hai khối đăng nhập và dò mật khẩu đọc cùng nhau
Portal đặt hai khối này cạnh nhau là có chủ ý, vì chỉ khi đối chiếu với nhau chúng mới cho một kết luận.
Dò mật khẩu là chuyện thường ngày. Máy chủ nào mở SSH hoặc RDP ra Internet cũng bị các máy tự động ở khắp nơi thử mật khẩu liên tục. Trên một VPS Ubuntu của Cloudzone, báo cáo ghi 7.908 lần đăng nhập sai trong 30 ngày, từ 1.036 địa chỉ IP khác nhau (số đo ngày 09/11/2026). Con số hàng nghìn như vậy là bình thường, tự nó không nói lên điều gì xấu.
Khối cần soát kỹ là đăng nhập thành công. Khối này liệt kê mọi lần có người vào được máy chủ trong 90 ngày, kèm kiểu đăng nhập, địa chỉ IP, tài khoản và số lần. Trên VPS nói trên, cùng kỳ không có lần đăng nhập thành công nào, nghĩa là mật khẩu chưa bị dò ra - đây mới là kết luận đáng quan tâm.
Ngược lại, một dòng đăng nhập thành công từ địa chỉ IP không phải của quý Khách hàng hay người được giao quản trị máy là tình huống phải kiểm tra ngay, kể cả khi số lần dò mật khẩu đang thấp.
Muốn giảm số lần bị dò: chỉ cho các địa chỉ IP cần thiết truy cập cổng quản trị, dùng khoá SSH thay mật khẩu trên máy Linux, đổi cổng RDP mặc định và bật khoá tài khoản sau nhiều lần sai trên máy Windows, và đặt mật khẩu tối thiểu 8 ký tự có đủ chữ hoa, chữ thường, chữ số, ký tự đặc biệt.
6. Vá xong mà con số chưa giảm
Hệ thống quét theo lượt định kỳ, không quét vào đúng lúc quý Khách hàng mở trang. Vì vậy sau khi nâng cấp, số liệu chỉ đổi ở lượt quét kế tiếp. Nếu sau lượt quét mới mà con số vẫn y nguyên, kiểm hai khả năng quen gặp nhất: gói nhân hệ điều hành đã nâng nhưng máy chưa khởi động lại, hoặc lệnh cập nhật chạy chưa trọn vẹn vì thiếu dung lượng đĩa.
Cũng đừng kỳ vọng con số về 0. Luôn còn các lỗ hổng mức Thấp hoặc chưa được chấm điểm mà nhà phát hành phần mềm chưa ra bản vá. Mục tiêu hợp lý là đưa nhóm đã bị khai thác thực tế về 0 và giữ nhóm Nghiêm trọng/Cao ở mức thấp.
7. Câu hỏi thường gặp
Báo cáo hiện hàng nghìn lỗ hổng thì máy chủ đã bị tấn công chưa?
Không. Con số đó là số lỗ hổng đã biết của các gói phần mềm đang cài, phần lớn đến từ vài gói lớn như nhân hệ điều hành. Nó cho biết máy chủ chưa được cập nhật. Dấu hiệu bị xâm nhập nằm ở khối đăng nhập thành công, không nằm ở con số này.
Nên mở báo cáo bao lâu một lần?
Ít nhất mỗi tuần một lần. Hiện Portal chưa gửi email hay tin nhắn khi phát hiện bất thường, nên quý Khách hàng chủ động mở xem.
Khối Cấu hình an toàn báo hàng trăm mục chưa đạt, có phải máy chủ đang mất an toàn?
Không. Đó là khuyến nghị cứng hoá theo một chuẩn quốc tế viết cho máy chủ cấu hình chặt nhất, nhiều mục không phù hợp với cách máy chủ đang được dùng. Cân nhắc từng mục trước khi áp dụng, vì siết một mục không phù hợp có thể làm dịch vụ đang chạy ngừng hoạt động.
Cloudzone có vá lỗ hổng giúp không?
Dịch vụ cung cấp thông tin và hướng dẫn, việc nâng cấp do quý Khách hàng thực hiện trên máy chủ của mình. Cần hỗ trợ trong lúc thao tác, quý Khách hàng chat với Cloudzone.
Hướng dẫn đầy đủ từng khối trong báo cáo có tại Cẩm nang VM Security Monitoring. Thông tin dịch vụ và bảng giá tại trang VM Security Monitoring.
