Xây dựng Hệ thống Phát hiện Xâm nhập Tầng Host (HIDS) với Wazuh kết hợp Cloudflare Tunnels trên VPS

1. Đặt vấn đề: Thách thức bảo mật VPS trong kỷ nguyên số

Đối với các doanh nghiệp hiện đại, hạ tầng máy chủ ảo (VPS) đóng vai trò cốt lõi trong việc vận hành ứng dụng, lưu trữ dữ liệu và triển khai dịch vụ. Tuy nhiên, việc công khai các cổng dịch vụ (ports) ra Internet vô tình biến VPS thành mục tiêu hàng đầu của các cuộc tấn công mạng, từ dò quét mật khẩu (Brute Force), khai thác lỗ hổng zero-day đến các phần mềm độc hại (malware) tinh vi. Đứng trước thực trạng đó, việc trang bị một Hệ thống Phát hiện Xâm nhập Tầng Host (HIDS - Host-based Intrusion Detection System) trở thành yêu cầu bắt buộc.

HIDS giúp giám sát chặt chẽ các hoạt động diễn ra bên trong hệ điều hành, từ sự thay đổi cấu hình tệp tin, hành vi của tiến trình cho đến nhật ký hệ thống (system logs). Trong số các giải pháp mã nguồn mở hiện nay, Wazuh nổi lên như một nền tảng XDR (Extended Detection and Response) và SIEM toàn diện, mạnh mẽ nhất. Tuy nhiên, việc kết nối các Agent từ xa về máy chủ Wazuh Manager tập trung thường đòi hỏi phải mở port công khai, tiềm ẩn nguy cơ bị tấn công trực diện. Để giải quyết triệt để bài toán này, sự kết hợp giữa Wazuh và Cloudflare Tunnels chính là giải pháp kiến trúc an ninh hoàn hảo, giúp bảo vệ toàn diện hệ thống mà không cần mở bất kỳ inbound port nào trên tường lửa.

2. Kiến trúc giải pháp: Sự kết hợp giữa Wazuh và Cloudflare Tunnels

Trước khi đi vào cấu hình chi tiết, chúng ta cần hiểu rõ mô hình hoạt động của giải pháp hybrid này. Kiến trúc bao gồm ba thành phần cốt lõi dịch chuyển nhịp nhàng:

Wazuh Manager: Bộ não trung tâm đóng vai trò thu thập, phân tích và chuẩn hóa dữ liệu log nhận được từ các Agent. Nó đối chiếu dữ liệu với kho luật (ruleset) để đưa ra cảnh báo kịp thời qua Dashboard hoặc Telegram/Slack.
Wazuh Agent: Các trình thu thập dữ liệu gọn nhẹ được cài đặt trực tiếp trên các VPS cần giám sát (Target Hosts). Agent sẽ theo dõi tính toàn vẹn của tệp tin (FIM), phát hiện rootkit và giám sát log.
Cloudflare Tunnels (Cloudflared): Thành phần thiết lập một kết nối outbound an toàn, được mã hóa từ máy chủ Wazuh Manager đến mạng lưới toàn cầu của Cloudflare. Các Wazuh Agent từ xa sẽ kết nối về Manager thông qua một domain được bảo vệ bởi Cloudflare, thay vì IP trực tiếp của VPS chứa Manager.

Kiến trúc này hiện thực hóa mô hình Zero Trust Edge. IP gốc của máy chủ Wazuh Manager hoàn toàn được ẩn giấu, ngăn chặn tuyệt đối các cuộc tấn công DDoS và khai thác lỗi dịch vụ từ những kẻ dò quét mạng ngẫu nhiên.

3. Hướng dẫn triển khai chi tiết từng bước

Bước 1: Cài đặt và cấu hình Wazuh Manager

Đầu tiên, chúng ta cần chuẩn bị một VPS chạy hệ điều hành Ubuntu Server 22.04 LTS hoặc 24.04 LTS với cấu hình khuyến nghị tối thiểu là 4GB RAM và 2 vCPU để đảm bảo hiệu năng phân tích log.

Sử dụng script cài đặt tự động được cung cấp chính thức bởi Wazuh để triển khai toàn bộ stack (bao gồm Wazuh Indexer, Wazuh Server và Wazuh Dashboard):

curl -sO [https://packages.wazuh.com/4.x/wazuh-install.sh](https://packages.wazuh.com/4.x/wazuh-install.sh) && sudo bash wazuh-install.sh -a

Quá trình cài đặt tự động diễn ra trong khoảng 5-10 phút. Sau khi hoàn tất, hệ thống sẽ xuất ra thông tin tài khoản admin và mật khẩu mặc định. Hãy lưu lại các thông tin này cẩn thận.

Bước 2: Thiết lập Cloudflare Tunnel bảo vệ cổng kết nối

Để cấu hình Cloudflare Tunnel, bạn cần có một tên miền (domain) đã được trỏ Name servers về Cloudflare. Tiến hành cài đặt công cụ cloudflared trên máy chủ Wazuh Manager:

Tải và cài đặt package phù hợp với hệ điều hành.
Chạy lệnh cloudflared tunnel login và click vào đường dẫn hiển thị để xác thực với tài khoản Cloudflare của bạn.
Tạo một tunnel mới bằng lệnh: cloudflared tunnel create wazuh-link

Cấu hình file config.yml của cloudflared để định tuyến các luồng dữ liệu. Đặc biệt lưu ý, cấu thức giao tiếp của Wazuh Agent sử dụng giao thức TCP qua port 1514 (dành cho log) và port 1515 (dành cho xác thực đăng ký Agent). Do Cloudflare Tunnel thông thường tối ưu cho HTTP/HTTPS, chúng ta cần cấu hình tính năng Arbitrary TCP optimization hoặc sử dụng Cloudflare Spectrum/Cloudflare Access tùy thuộc vào phiên bản gói dịch vụ để forward chính xác traffic TCP.

Ví dụ cấu hình ánh xạ đường truyền trong file config:

tunnel: [TUNNEL_ID]
credentials-file: /root/.cloudflared/[TUNNEL_ID].json

ingress:
  - hostname: wazuh-agent.yourdomain.com
    service: tcp://localhost:1514
  - hostname: wazuh-dashboard.yourdomain.com
    service: https://localhost:443
  - service: http_status:404

Sau khi cấu hình, khởi chạy tunnel dưới dạng một dịch vụ hệ thống (systemd service) để đảm bảo tính sẵn sàng cao: sudo cloudflared service install và sudo systemctl start cloudflared.

Bước 3: Triển khai và tối ưu hóa Wazuh Agent trên các VPS mục tiêu

Truy cập vào giao diện điều khiển Wazuh Dashboard qua tên miền đã cấu hình bảo mật. Chọn mục Deploy new agent, hệ thống sẽ hiển thị một form tùy chọn trực quan để sinh ra dòng lệnh cài đặt chính xác cho từng loại OS (Ubuntu, CentOS, Windows Server,...).

Điểm mấu chốt ở đây: Tại ô nhập địa chỉ Wazuh Manager, thay vì nhập IP public của VPS, bạn phải nhập chính xác Subdomain đã cấu hình qua Cloudflare Tunnel (ví dụ: wazuh-agent.yourdomain.com). Khi Agent trên VPS mục tiêu chạy lệnh khởi tạo, nó sẽ thiết lập kết nối an toàn ngược về Cloudflare Edge, và Cloudflare sẽ điều phối luồng dữ liệu về đúng VPS Manager của bạn một cách bí mật.

4. Quản lý, giám sát và cấu hình luật phát hiện (Ruleset) nâng cao

Sau khi các Agent đã chuyển sang trạng thái Active trên Dashboard, hệ thống HIDS chính thức đi vào hoạt động. Để tối ưu hóa khả năng phòng thủ cho doanh nghiệp, người quản trị cần tập trung cấu hình ba tính năng nâng cao sau:

Giám sát tính toàn vẹn của tệp tin (File Integrity Monitoring - FIM)

Mặc định, Wazuh theo dõi các thư mục hệ thống trọng yếu như /etc, /bin, /sbin. Bạn nên mở rộng cấu hình trong file ossec.conf của Agent để giám sát trực tiếp các thư mục chứa mã nguồn web hoặc dữ liệu nhạy cảm của doanh nghiệp. Bất kỳ hành vi sửa đổi, thêm mới mã độc (web shell) nào cũng sẽ bị ghi lại theo mốc thời gian thực kèm theo thông tin định danh tiến trình thực hiện hành vi đó.

Phát hiện bất thường và Rootkit

Wazuh liên tục quét hệ thống để tìm kiếm các tệp ẩn, các cổng mạng lạ đang mở hoặc các tiến trình chạy ngầm chiếm quyền root hệ thống (Rootkit). Cơ chế đối chiếu chữ ký (signature) kết hợp phân tích hành vi giúp phát hiện sớm các cuộc tấn công leo thang đặc quyền nghiêm trọng.

Phản ứng chủ động (Active Response)

Đây là tính năng biến Wazuh từ một hệ thống phát hiện thuần túy (IDS) thành một hệ thống ngăn chặn xâm nhập chủ động (IPS). Bạn có thể cấu hình luật: Nếu một IP từ Internet thực hiện dò quét SSH sai quá 5 lần trong vòng 1 phút (Rule ID: 5712), Wazuh Manager sẽ tự động ra lệnh cho Agent kích hoạt tường lửa (iptables/nftables) chặn hoàn toàn IP đó trong vòng 24 giờ. Cơ chế này giúp giảm tải áp lực xử lý cho quản trị viên hệ thống.

5. Kết luận

Việc kết hợp Wazuh HIDS và Cloudflare Tunnels tạo nên một lá chắn an ninh hai lớp vững chắc cho hạ tầng VPS doanh nghiệp. Giải pháp này vừa mang lại năng lực giám sát sâu sát, phát hiện tấn công ở cấp độ thực thi của hệ điều hành, vừa tận dụng triệt để kiến trúc Zero Trust của Cloudflare để bảo vệ toàn vẹn cho chính hạ tầng giám sát. Chi phí triển khai tối ưu nhờ nền tảng mã nguồn mở, nhưng hiệu quả an ninh mang lại hoàn toàn tương đương với các giải pháp SOC thương mại đắt đỏ. Đầu tư tối ưu hóa bảo mật hệ thống ngay hôm nay chính là nền tảng bền vững cho sự phát triển của mọi doanh nghiệp công nghệ.