Đừng phức tạp hóa việc thiết lập đám mây của bạn nữa—Đây là cách làm chuẩn ngay từ ngày đầu
Hầu hết mọi người khởi tạo máy chủ đám mây như thể đó là bữa tối hâm nóng bằng lò vi sóng: nhấp vài nút, dùng cài đặt mặc định, và cầu trời không có gì cháy khét. Tôi hiểu điều đó. Bạn muốn thứ gì đó chạy thật nhanh. Nhưng sau khi gỡ rối vô số triển khai lộn xộn cho các khách hàng tư vấn, tôi có thể nói với bạn rằng một giờ thiết lập chu đáo sẽ giúp tiết kiệm hàng tuần đau đầu sau này. Đây không phải là một cuốn sổ tay khô khan—hãy coi nó như một buổi trò chuyện cà phê nơi tôi chia sẻ những gì thực sự hiệu quả.
Cách đây vài tháng, một người bạn nhắn tin cho tôi: “Tôi làm theo một hướng dẫn thiết lập máy chủ đám mây tìm được trên mạng, nhưng giờ tôi nhận được các lần thử đăng nhập lạ từ sáu quốc gia khác nhau.” Anh ấy đã khởi chạy một máy ảo Ubuntu trần trụi, để mở toang cổng SSH mặc định, và dùng mật khẩu như admin123. Điều đó giống như để cửa trước nhà không khóa với một tấm biển neon “Chào mừng”. Vấn đề ở đây là: một cách tiếp cận thiết lập máy chủ đám mây tử tế không chỉ là khiến máy hoạt động—mà còn là định hình một ngôi nhà số an toàn ngay từ đầu. Và đó là lúc kiến trúc đám mây an toàn thực sự phát huy tác dụng, không phải là phần gắn thêm, mà được dệt vào trong cấu trúc.
Vậy bạn bắt đầu từ đâu? Tôi thường phác thảo thiết kế hạ tầng đám mây của mình trên giấy nháp trước khi đụng đến bảng điều khiển. Hãy hình dung luồng lưu lượng: dịch vụ nào cần giao tiếp công khai, dịch vụ nào có thể ẩn trong mạng con riêng tư (private subnet), và nơi nào nên đặt bộ cân bằng tải (load balancer) hoặc cổng NAT (NAT gateway). Ngay cả khi bạn đang chạy một ứng dụng nhỏ, bản đồ tư duy này giúp ngăn chặn những khoảnh khắc “ôi không, tôi đã phơi bày cơ sở dữ liệu ra internet”. Nếu bạn đang tìm một hướng dẫn cấu hình máy chủ đám mây vượt xa các lệnh sao chép-dán, hãy bắt đầu với quy tắc này: luôn biết rõ tài sản của bạn và các đường giao tiếp của chúng.
Bây giờ, hãy nói về cơ chế thiết lập. Đối với thiết lập máy chủ đám mây cho người mới bắt đầu, tôi khuyên bạn nên dùng trình hướng dẫn của nhà cung cấp nhưng ngay sau đó hãy củng cố các biện pháp bảo mật cơ bản. Chọn một bản phân phối Linux nhẹ mà bạn quen thuộc—Ubuntu hoặc Debian là lựa chọn phù hợp với hầu hết mọi người. Trong quá trình tạo máy, bạn sẽ thấy các tùy chọn cho nhóm tường lửa hoặc “security group” (nhóm bảo mật). Hãy coi đó là tuyến phòng thủ đầu tiên của bạn. Chỉ mở các cổng cần thiết: 22 cho SSH (nhưng sau đó hãy đổi sang cổng không chuẩn), 80/443 nếu bạn phục vụ lưu lượng web, và không bao giờ mở 3306 ra thế giới trừ khi bạn thích thảm họa. Bước nhỏ này là một trong những mẹo bảo mật máy chủ đám mây đơn giản đến mức thường bị bỏ qua, nhưng nó chặn phần lớn các cuộc tấn công tự động.
Khi máy chủ đã phản hồi ping, hãy bỏ ngay xác thực bằng mật khẩu. Tạo một cặp khóa SSH, tải khóa công khai lên, và cấu hình sshd để vô hiệu hóa đăng nhập bằng mật khẩu. Bạn biết không? Tôi đã thấy nhiều lập trình viên kỳ cựu bỏ qua bước này vì “đó chỉ là máy phát triển”, và chỉ trong một ngày máy chủ đã trở thành một phần của mạng botnet. Điều đó dẫn tôi đến các biện pháp bảo mật đám mây rộng hơn mà tôi luôn nhấn mạnh với mọi khách hàng: đặc quyền tối thiểu (least privilege), kết nối mã hóa, và giả định rằng mọi cài đặt mặc định đều nguy hiểm cho đến khi được chứng minh ngược lại. Hãy nghĩ về nó như việc tôi luyện một chiếc chảo gang—bạn đang xây dựng một lớp bảo vệ chống dính tốt hơn theo thời gian nếu được chú ý.
Bản thiết kế kiến trúc đám mây an toàn của bạn cũng nên xử lý việc ghi nhật ký và giám sát ngay từ đầu. Khởi tạo một CloudWatch tối giản, Stackdriver, hoặc thậm chí một Grafana tự lưu trữ để thu thập nhật ký xác thực, các mức tăng đột biến tài nguyên và các bất thường mạng. Có lần tôi đã phát hiện một bucket S3 (S3 bucket) bị định cấu hình sai trong tài khoản của khách hàng trong một cuộc kiểm tra định kỳ vì nhật ký cho thấy mức tăng đột biến bất ngờ về dữ liệu đầu ra. Đó chính là vẻ đẹp của việc truyền bảo mật vào kiến trúc thay vì gắn thêm sau khi mọi việc đã xong. Nếu bạn đang phác thảo một hướng dẫn kiến trúc bảo mật đám mây cho nhóm của mình, hãy biến nó thành một danh sách kiểm tra thân thiện, chứ không phải một chính sách dày 200 trang mà không ai đọc.
Nói đến các danh sách kiểm tra, trước mỗi lần triển khai production, tôi đều rà soát trong đầu—hoặc trên giấy—một danh sách kiểm tra bảo mật máy chủ đám mây. Nó đại loại như: tường lửa đã được thắt chặt? Đạt. Chỉ dùng SSH keys? Đạt. Cập nhật tự động đã được cấu hình (kèm lịch kiểm thử trên môi trường staging)? Đạt. Các dịch vụ không sử dụng đã được gỡ cài đặt? Đạt. Sao lưu cơ sở dữ liệu được tự động hóa và mã hóa? Đạt. Các dependency của ứng dụng đã được quét tìm lỗ hổng đã biết? Đạt. Nghe có vẻ nhiều việc, nhưng sau lần thứ ba thực hiện, nó trở thành phản xạ tự nhiên. Và tin tôi đi, việc thức giấc lúc 3 giờ sáng vì cảnh báo từ pager do một cron job bị bỏ quên ngốn hết dung lượng ổ đĩa là thực tế bạn có thể tránh được bằng một chút chủ động chăm chút.
Một điểm tôi thấy nhiều người vấp phải là họ coi hướng dẫn thiết lập máy chủ đám mây như chân lý mà không điều chỉnh cho phù hợp với trường hợp sử dụng cụ thể của mình. Một hướng dẫn có thể bảo bạn “cài Apache, MySQL, PHP” chỉ bằng một lệnh, nhưng nếu bạn đang xây dựng microservice đóng gói container, thì LAMP stack đó chỉ là gánh nặng chết. Thay vào đó, hãy tự hỏi: mình có cần kiến trúc nguyên khối không, hay có thể tách các chức năng thành các instance nhỏ hơn? Đây là một phần của tư duy thiết kế hạ tầng đám mây trưởng thành—tối ưu kích cỡ không chỉ để tiết kiệm chi phí mà còn vì bảo mật. Một máy chủ web không cần cài đặt công cụ cơ sở dữ liệu; đó chỉ là thêm bề mặt tấn công.
Còn nếu bạn đang lên kế hoạch chi tiết và muốn thứ gì đó có thể in ra, tôi thường đưa cho khách hàng một danh sách kiểm tra bảo mật máy chủ đám mây một trang kèm theo hướng dẫn kiến trúc bảo mật đám mây liên kết các biện pháp kiểm soát với mục tiêu kinh doanh. Ví dụ, nếu ứng dụng của bạn xử lý thanh toán, danh sách kiểm tra đó sẽ mở rộng để bao gồm các lớp PCI-DSS như giám sát tính toàn vẹn tệp và môi trường dữ liệu chủ thẻ bị giới hạn. Nhưng ngay cả với một blog cá nhân, việc tuân thủ các biện pháp bảo mật đám mây tốt nhất như dùng tường lửa ứng dụng web và chứng chỉ TLS (xin chào, Let’s Encrypt) sẽ biến bạn từ một mục tiêu dễ bị tấn công thành một mục tiêu khó nhằn.
Cuối cùng, cách thiết lập máy chủ đám mây đúng đắn quy về việc coi nó như một dự án sống, chứ không phải việc làm một lần rồi thôi. Hãy vá lỗi thường xuyên, xoay vòng khóa truy cập, rà soát vai trò IAM, và giữ tư duy tò mò. Tôi vẫn học được những mẹo mới mỗi tháng, dù đã làm việc này nhiều năm. Nếu bạn là người mới bắt đầu, đừng nản lòng—hãy bắt đầu từ việc nhỏ, phá thử mọi thứ trong môi trường sandbox, và xây dựng một hướng dẫn cấu hình máy chủ đám mây rút gọn của riêng mình bằng cách ghi lại những gì hiệu quả với bạn. Chẳng bao lâu, bạn sẽ trở thành người mà bạn bè nhắn tin khi ngôi nhà kỹ thuật số của họ đang bốc cháy, và bạn sẽ thản nhiên nói: “hãy kiểm tra network ACLs của bạn trước đã.” Đó mới là phép màu thực sự: biến bảo mật từ thứ đáng sợ thành bản năng thứ hai.