Bảo Mật WordPress + OpenLiteSpeed: Firewall, Fail2Ban, Harden Từ A Đến Z

Câu Hỏi Thường Gặp (FAQ)

Bảo mật WordPress trên OpenLiteSpeed cần những gì?

Combo tối thiểu gồm: Firewall (UFW/iptables + mod_security trên LiteSpeed), Fail2Ban chặn brute-force, harden wp-config.php và file permissions, SSL/HTTPS, backup tự động, và malware scanning định kỳ. Không cần làm hết một lần, nhưng nên triển khai theo thứ tự ưu tiên: Firewall > Fail2Ban > Harden WordPress > Harden OpenLiteSpeed > Backup > Monitoring.

OpenLiteSpeed có sẵn firewall không?

Có. OpenLiteSpeed tích hợp module mod_security tương thích规则 OWASP, có thể bật trực tiếp từ Admin Panel mà không cần cài thêm. Ngoài ra còn có Hotlink Protection, Access Control (IP whitelist/blacklist), và Rate Limiting built-in. Kết hợp với UFW/iptables ở OS level thì bạn có 2 lớp bảo vệ.

Fail2Ban hoạt động thế nào với WordPress?

Fail2Ban theo dõi log file (auth.log, access log), phát hiện các pattern brute-force như đăng nhập sai nhiều lần, rồi tự động chặn IP qua iptables/firewall. Bạn cần tạo custom filter cho wp-login.php, XML-RPC, và WordPress admin để Fail2Ban nhận diện được tấn công từ WordPress thay vì chỉ SSH.

Có nên dùng Wordfence hay Sucuri?

Theo trải nghiệm cá nhân, Wordfence free version là đủ cho hầu hết site WordPress. Nó cung cấp firewall application-level, malware scanner, và login security. Tuy nhiên nên dùng như lớp bổ sung, không thay thế cho server-level security (firewall, Fail2Ban). Sucuri mạnh hơn về malware cleanup nhưng bản trả phí khá đắt.

Backup bảo mật nên làm thế nào cho đúng?

Tối thiểu: backup database + files hàng ngày, giữ ít nhất 7 bản backup gần nhất, lưu ở server khác (offsite). Quan trọng nhất: test restore định kỳ. Backup không test restore thì giống như không backup. Tôi dùng script tự động chạy qua cron job, upload lên S3-compatible storage.

—

Tại Sao Bảo Mật WordPress Không Thể Bỏ Qua

Trong bài hướng dẫn cài đặt OpenLiteSpeed + WordPress, tôi đã đi qua phần setup cơ bản. Nhưng một server mới cài xong mà chưa harden thì giống như nhà có cửa nhưng chưa khóa — mời gọi mọi người bước vào.

WordPress chiếm hơn 43% website toàn cầu, và chính vì phổ biến nên nó là mục tiêu yêu thích của hacker. Theo thống kê từ Sucuri, khoảng 90% website bị hack trên các CMS đều là WordPress. Không phải vì WordPress yếu, mà vì phần lớn người dùng không cấu hình bảo mật đúng cách.

Khi bạn chạy WordPress trên OpenLiteSpeed, bạn có lợi thế: LiteSpeed có sẵn nhiều module bảo mật mà Nginx hay Apache cần cài thêm. Nhưng lợi thế chỉ trở thành bảo mật thực sự khi bạn biết cách bật và cấu hình chúng.

Bài viết này tổng hợp toàn bộ những gì tôi đã làm để bảo vệ server WordPress + OpenLiteSpeed của mình sau hơn 2 năm vận hành — từ firewall, Fail2Ban, harden WordPress/OpenLiteSpeed, đến backup strategy và monitoring. Mọi thứ đều đã test trên thực tế, không phải lý thuyết suông.

1. Firewall: Lớp Bảo Vệ Đầu Tiên

1.1 UFW — Uncomplicated Firewall

UFW là frontend của iptables, dễ dùng hơn nhiều so với viết raw iptables rules. Trên Ubuntu, UFW thường đã cài sẵn.

Một sai lầm phổ biến là quên cho phép SSH trước khi enable UFW — kết quả là bạn mất kết nối vĩnh viễn với server. Luôn luôn allow 22/tcp trước khi ufw enable.

1.2 iptables Rules Chuyên Sâu Hơn

Nếu bạn cần control chi tiết hơn UFW, iptables cho phép viết rules phức tạp. Đây là bộ rules tôi dùng:

1.3 OpenLiteSpeed Built-in Security

Đây là điểm mạnh của LiteSpeed so với Nginx. Trong Admin Panel (port 7080), bạn có:

Access Control (IP Restriction):

Vào Virtual Hosts > Context > /wp-admin/ hoặc tạo context mới:

Điều này giới hạn wp-admin chỉ truy cập được từ IP của bạn. Rất hiệu quả chống brute-force admin login. Nhược điểm: nếu IP của bạn thay đổi (dùng ISP động, hoặc di chuyển), bạn phải cập nhật. Tôi giải quyết bằng VPN có static IP.

Hotlink Protection:

Vào Virtual Hosts > Security > Hotlink Protection:

Chống hotlink tiết kiệm bandwidth, đặc biệt quan trọng nếu bạn có nhiều hình ảnh.

Rate Limiting:

Vào Virtual Hosts > General > Rate Limiting hoặc cấu hình ở server level:

Giới hạn rate giúp giảm tác động của DDoS nhẹ và bot spam.

1.4 mod_security Trên OpenLiteSpeed

mod_security là Web Application Firewall (WAF), phân tích HTTP requests và chặn những request độc hại dựa trên rules. OpenLiteSpeed hỗ trợ mod_security native.

Cài đặt OWASP ModSecurity Core Rule Set (CRS):

Kích hoạt trong OpenLiteSpeed Admin Panel:

Vào Server > General > Modules, thêm module:

Sau đó restart LiteSpeed:

Lưu ý quan trọng: OWASP CRS default rules khá aggressive, có thể block legitimate requests. Tôi khuyến nghị:

• Bắt đầu với SecRuleEngine DetectionOnly (chỉ ghi log, không chặn) trong 1-2 tuần
• Review log /var/log/lsws/modsec_audit.log để xem false positives
• Thêm exclusion rules cho WordPress (REST API, wp-admin AJAX)
• Sau đó chuyển sang On

Thêm exclusion cơ bản cho WordPress:

2. Fail2Ban: Chặn Brute-Force Tự Động

Fail2Ban là tool bảo mật tôi coi là bắt buộc phải có trên mọi server. Nó scan log files, phát hiện dấu hiệu tấn công (đăng nhập sai nhiều lần, scan vulnerability, spam), rồi tự động update firewall rules để chặn IP độc hại.

2.1 Cài Đặt Fail2Ban

2.2 Cấu Hình SSH Protection

Tạo hoặc chỉnh sửa /etc/fail2ban/jail.local:

Giải thích: nếu 1 IP đăng nhập SSH sai 3 lần trong 10 phút (600 giây), chặn IP đó trong 1 giờ (3600 giây).

Nếu bạn dùng SSH key và disable password login rồi (nên làm), đây là lớp bảo vệ thêm. Nếu vẫn dùng password SSH thì đây thực sự là must-have.

2.3 Cấu Hình WordPress Login Protection

Fail2Ban mặc định không biết đọc WordPress log. Ta cần tạo custom filter.

Bước 1: Cài plugin WordPress ghi log đăng nhập

Cài plugin “WP fail2ban” hoặc thêm code sau vào wp-config.php để WordPress ghi log đăng nhập vào syslog:

Hoặc đơn giản hơn, dùng plugin WP fail2ban Redux — nó tự ghi log vào syslog chuẩn Fail2Ban format.

Bước 2: Tạo Fail2Ban filter cho WordPress

Tạo file /etc/fail2ban/filter.d/wordpress.conf:

Bước 3: Tạo filter cho XML-RPC

Tạo file /etc/fail2ban/filter.d/wordpress-xmlrpc.conf:

Bước 4: Thêm jails vào jail.local

Chú ý: XML-RPC tôi set rất strict — chỉ 2 lần retry trong 1 giờ, ban 24 giờ. Vì bình thường几乎没有 legitimate traffic nào đến xmlrpc.php ngoài tấn công.

Bước 5: Restart Fail2Ban

2.4 Kiểm Tra Fail2Ban Hoạt Động

Sau khi cấu hình xong, thử đăng nhập sai 5 lần — bạn sẽ thấy IP bị ban trong log. Rất hài lòng khi thấy nó hoạt động.

3. Harden WordPress

3.1 File Permissions

File permissions sai là một trong những nguyên nhân phổ biến nhất dẫn đến bị hack. Đây là bộ permissions tôi áp dụng:

3.2 wp-config.php Security

Thay Security Keys:

Vào api.wordpress.org/secret-key/1.1/salt/ để generate bộ keys mới, thay thế đoạn cũ trong wp-config.php:

Nên thay security keys mỗi 6-12 tháng, hoặc ngay khi nghi ngờ bị compromise. Thay keys sẽ invalidate tất cả session hiện tại.

Disable File Editor:

DISALLOW_FILE_MODS cũng ẩn notifications cài plugin mới trong admin. Nếu bạn cần cài plugin, tắt tạm, cài xong bật lại. Phiền một chút nhưng an toàn hơn nhiều.

Di chuyển wp-config.php lên thư mục cao hơn:

WordPress tự động tìm wp-config.php ở thư mục cao hơn document root nếu không tìm thấy trong thư mục hiện tại. Di chuyển lên 1 level:

Nhờ đó,wp-config.php nằm ngoài document root, web server không thể phục vụ file này kể cả khi cấu hình sai.

3.3 Giới Hạn Đăng Nhập

Dùng plugin thay vì code tay. Tôi dùng Limit Login Attempts Reloaded:

Cấu hình: 4 lần thử trong 20 phút, lockout 24 giờ, notify email khi có lockout. Kết hợp với Fail2Ban thì bạn có 2 lớp bảo vệ login: application-level (plugin) + server-level (Fail2Ban).

3.4 Two-Factor Authentication (2FA)

Bắt buộc nên bật 2FA cho admin account. Tôi dùng Wordfence Login Security (tách riêng từ Wordfence, nhẹ hơn):

Hoặc nếu đã cài Wordfence đầy đủ thì dùng 2FA built-in. Quét QR code bằng Google Authenticator hoặc Authy, xong.

Theo tôi, 2FA là biện pháp đơn giản nhưng hiệu quả nhất chống chiếm tài khoản admin. Dù password bị lộ, hacker vẫn không đăng nhập được nếu không có mã 2FA.

3.5 Vô Hiệu Hoá XML-RPC

XML-RPC là cổng vào phổ biến cho brute-force attacks và DDoS. Nếu bạn không dùng WordPress app mobile hay pingback/trackback, hãy vô hiệu hóa hoàn toàn:

Hoặc nếu cần giữ lại cho một số plugin (như Jetpack), cho phép chỉ IP của Jetpack:

3.6 Xóa Default Content

Mỗi theme/plugin không dùng là một attack surface tiềm năng. Xóa hết những gì không cần.

4. Harden OpenLiteSpeed

4.1 Ẩn Version Header

Mặc định OpenLiteSpeed hiển thị version trong HTTP header, giúp attacker biết chính xác version bạn đang chạy để tìm exploit.

Vào Server > General > Server Signature: chọn Hide hoặc Off. Restart LiteSpeed.

Kiểm tra:

Header chỉ nên hiện “LiteSpeed” hoặc “lsquic” chứ không kèm version number.

4.2 Restrict Admin Panel Access

OpenLiteSpeed Admin Panel chạy trên port 7080 (mặc định). Đây là mục tiêu tấn công phổ biến.

Thay đổi port mặc định:

Vào Server > General > Admin Port: đổi sang port ngẫu nhiên, ví dụ 58034.

Giới hạn IP truy cập:

Đã làm ở phần UFW: chỉ cho phép IP của bạn truy cập admin port. Thêm lớp nữa, trong Admin Panel:

Vào Server > General > Access Control: thêm IP được phép.

Bật SSL cho Admin Panel:

Nếu đã có SSL (xem bài SSL/HTTPS với Let’s Encrypt trên OpenLiteSpeed), cấu hình Admin Panel dùng HTTPS:

Vào Server > Admin Listeners > adminSSL: trỏ đến SSL certificate của bạn.

4.3 Anti-Hotlink Protection

Như đã đề cập ở phần 1.3, bật Hotlink Protection trong Admin Panel. Ngoài ra, có thể thêm rule trong .htaccess:

Cho phép Google/Bing referer vì search engine image search cần hiển thị thumbnail.

4.4 Anti-DDoS Cơ Bản

OpenLiteSpeed có built-in chống DDoS nhẹ, nhưng không thay thế được dedicated DDoS protection (Cloudflare, etc.).

Connection/Throttle Limiting:

Vào Server > Tuning > Connection throttling:

Nghĩa là nếu 1 IP mở quá 800 kết nối đồng thời trong 10 giây, ban 60 giây.

Request Throttling:

Vào Virtual Hosts > Security > Request Throttling:

Đối với DDoS規模 lớn, bạn cần Cloudflare hoặc CDN có DDoS protection. LiteSpeed chỉ xử lý được mức nhẹ-trung bình. May mắn là hầu hết blog nhỏ không bị DDoS targeted.

5. Malware Scanning

5.1 ClamAV — Server-Level Scanner

ClamAV là antivirus open-source, chạy được trên Linux:

Tạo cron job scan hàng tuần:

ClamAV chạy khá chậm (full scan có thể mất 30+ phút), nên chỉ nên chạy định kỳ, không phải realtime. Đối với WordPress, scanner application-level như Wordfence hiệu quả hơn trong việc phát hiện PHP malware.

5.2 Wordfence — WordPress Security Plugin

Wordfence miễn phí cung cấp:

• Firewall: chặn malicious requests dựa trên signature database
• Malware Scanner: scan core files, themes, plugins so sánh với repository chính thức
• Login Security: 2FA, CAPTCHA, limit login attempts
• Threat Intelligence: cảnh báo khi plugin/theme có vulnerability mới phát hiện

Cấu hình quan trọng sau khi cài:

• Bật Extended Protection (Wordfence > All Options > Firewall)
• Chạy scan đầu tiên: Wordfence > Scan > Start New Scan
• Bật email alerts cho critical issues
• Set scheduled scan: hàng ngày vào lúc low-traffic (2-3 AM)

Nhược điểm Wordfence: khá nặng, có thể ảnh hưởng performance trên VPS nhỏ (1GB RAM). Nếu server của bạn yếu, cân nhắc dùng LiteSpeed Cache + chỉ bật Wordfence scan khi cần, tắt firewall application-level (đã có mod_security ở server level rồi).

6. Security Headers

Security headers là HTTP response headers hướng dẫn browser cách xử lý nội dung trang web. Dù không ảnh hưởng trực tiếp đến server, chúng bảo vệ người dùng khỏi XSS, clickjacking, và các client-side attacks.

Trên OpenLiteSpeed, thêm headers trong .htaccess hoặc cấu hình Virtual Host:

Lưu ý về HSTS: một khi bật HSTS, browser sẽ chỉ truy cập site qua HTTPS. Nếu SSL có vấn đề, người dùng không thể truy cập site. Bắt đầu với max-age=300 (5 phút) để test, sau đó tăng dần lên 1 năm.

Kiểm tra security headers:

Hoặc dùng securityheaders.com để test và chấm điểm. Mục tiêu: đạt grade A hoặc A+.

7. Backup Strategy

Backup là biện pháp bảo mật cuối cùng nhưng quan trọng nhất. Khi mọi thứ khác thất bại, backup cứu bạn.

Nguyên tắc backup của tôi: 3-2-1 — 3 bản sao, 2 loại storage khác nhau, 1 bản offsite.

7.1 Script Backup Tự Động

Tạo file /root/backup-wordpress.sh:

7.2 Test Restore

BACKUP MÀ KHÔNG TEST RESTORE THÌ GIỐNG NHƯ KHÔNG BACKUP. Tôi nhấn mạnh vì bản thân từng rơi vào tình huống cần restore thì phát hiện backup bị lỗi.

Kiểm tra test restore hàng tháng. Đảm bảo process restore được documented rõ ràng để khi cần làm thật, bạn không phải guess.

8. Monitoring Và Phát Hiện Xâm Nhập

8.1 Log Analysis

Log là tài sản vô giá khi điều tra sự cố bảo mật. Các log quan trọng cần theo dõi:

Thay vì tail thủ công, tôi dùng script đơn giản phân tích log hàng ngày:

8.2 Intrusion Detection với AIDE

AIDE (Advanced Intrusion Detection Environment) theo dõi sự thay đổi của files. Nếu hacker chỉnh sửa core files, AIDE sẽ cảnh báo:

Tạo cron job kiểm tra hàng ngày:

9. Troubleshooting Thường Gặp

Fail2Ban không chặn IP

Nguyên nhân phổ biến nhất: log format trong filter không khớp với log format thực tế. Chỉnh regex trong filter cho phù hợp.

mod_security chặn legitimate requests

Quên mật khẩu admin WordPress

Không truy cập được wp-admin sau khi restrict IP

SSL certificate hết hạn

Chi tiết hơn về SSL troubleshooting, xem bài hướng dẫn SSL/HTTPS với Let’s Encrypt trên OpenLiteSpeed.

10. Checklist Tổng Hợp

Để dễ theo dõi, đây là checklist tôi dùng khi setup bảo mật cho server mới:

Ý Kiến Cá Nhân Sau 2 Năm Vận Hành

Sau hơn 2 năm chạy WordPress trên OpenLiteSpeed, đây là vài nhận xét thực tế:

OpenLiteSpeed thực sự an toàn hơn Nginx/Apache — không phải vì code tốt hơn, mà vì ít người dùng hơn nên ít attacker nhắm vào. Combined với built-in mod_security support và .htaccess compatibility, bạn có lợi thế bảo mật mà không cần cấu hình phức tạp.

Fail2Ban là MVP bảo mật. Trong tháng đầu tiên vận hành, Fail2Ban đã chặn hơn 200 IP brute-force. Không có nó, server đã bị brute-force liên tục. Cài đặt mất 30 phút, bảo vệ 24/7.

mod_security tốn công nhưng đáng giá. Giai đoạn đầu tốn 2 tuần tinh chỉnh rules, thêm exclusion cho WordPress REST API và AJAX. Nhưng sau khi ổn định, nó chặn sạch SQL injection, XSS, và file injection attempts. Xem log mod_security thỉnh thoảng khá thú vị — bạn sẽ thấy attacker cố gắng những gì.

Wordfence free là đủ cho blog nhỏ. Tôi từng cân nhắc bản premium nhưng nhận ra free version đã cover đủ: malware scan, vulnerability alerts, 2FA. Premium thêm realtime threat intelligence và country blocking, nhưng với blog traffic nhỏ thì không cần thiết.

Backup là thứ bạn không bao giờ nghĩ đến cho đến khi cần. Tôi từng mất 1 ngày content vì thử plugin mới gây lỗi database. May mà có backup 24 giờ trước. Từ đó, backup tự động hàng ngày, test restore hàng tháng, không ngoại lệ.

Security là quá trình, không phải sản phẩm. Không có “setup xong là an toàn”. Mỗi tháng có WordPress core update, plugin updates, vulnerability mới phát hiện. Duy trì thói quen: update hàng tuần, check log hàng ngày (qua script), review Fail2Ban ban list, chạy malware scan. Mất 15-30 phút/tuần nhưng giúp bạn yên tâm.

Nếu bạn vừa mới bắt đầu, hãy làm theo thứ tự ưu tiên trong checklist: UFW + SSH key > Fail2Ban > wp-config.php harden > SSL + security headers > backup > monitoring. Làm từng bước, test từng bước, không rush. Bảo mật tốt là bảo mật bạn hiểu rõ, không phải bảo mật copy-paste rồi quên.