Firewall dày đặc nhưng cửa phòng máy vẫn mở toang giờ nghỉ trưa
Phòng server nhỏ có nên dùng khóa vân tay giá rẻ, hay chỉ cần một chiếc chìa tốt? Câu hỏi này đến với chúng tôi sau một lần ghé văn phòng của khách. Họ đầu tư firewall rất kỹ. Nhưng tủ mạng và máy chủ nội bộ lại đặt ngay góc phòng làm việc. Cửa mở toang suốt giờ nghỉ trưa.
Mọi lớp bảo mật số đều kém tác dụng nếu ai cũng chạm tay được vào thiết bị. Một người vô tình rút nhầm dây nguồn có thể gây gián đoạn chẳng kém một cuộc tấn công. Người lạ cắm một chiếc USB vào máy chủ còn tệ hơn.
Bài này đi qua cách nghĩ về bảo mật vật lý cho phòng máy nhỏ. Chúng tôi sẽ bàn về chìa cơ, thẻ và vân tay. Cả những tình huống ít ai tính tới, như mất điện hay quản trị viên nghỉ việc.
Bảo mật vật lý: lớp dân hosting hay nhắc, văn phòng nhỏ hay bỏ
Người làm hosting luôn coi trọng lớp bảo mật vật lý. Thiết bị nằm trong tầm tay cũng là thiết bị nằm trong tầm rủi ro. Văn phòng nhỏ thì thường bỏ qua lớp này, vì firewall và mật khẩu nghe quen thuộc hơn.
Trung tâm dữ liệu thường có kiểm soát ra vào nhiều lớp và quy trình rõ ràng. Phòng máy tự dựng trong văn phòng thì khác: không có bảo vệ riêng, không có người trực. Đang cân nhắc thuê chỗ đặt thay vì tự dựng? Hãy đọc những điều cần biết trước khi chọn hosting, server.
Với phòng máy nhỏ, chúng tôi thấy ba nguy cơ hay gặp. Một là người lạ lọt vào lúc không ai để ý. Hai là người không có trách nhiệm chạm vào thiết bị vì tò mò hoặc tiện tay. Ba là thao tác vô ý, như rút nhầm dây hoặc đặt cốc nước lên tủ.
Xác định thứ cần bảo vệ: switch, NAS, máy chủ nội bộ, bộ sao lưu
Trước khi chọn khóa, hãy biết mình đang bảo vệ gì. Liệt kê từng thiết bị trong phòng và chấm mức quan trọng của nó, dù chỉ trên một tờ giấy.
- Switch và router: mất chúng thì cả văn phòng mất mạng.
- NAS: nơi nhiều công ty để dữ liệu chung.
- Máy chủ nội bộ: chạy các ứng dụng của công ty.
- Bộ sao lưu: thứ cuối cùng bạn cần khi mọi thứ hỏng.
Đặc biệt chú ý đến chuyện bản sao lưu. Nếu bạn để ổ sao lưu ngay cạnh máy chủ thì hai thứ đó cùng chung một rủi ro. Cháy, ngập hay trộm sẽ lấy đi cả bản chính lẫn bản dự phòng. Tủ rack có khóa riêng là lớp bảo vệ thêm, nhưng không thay được cửa phòng.
Danh sách người được vào phòng máy: ít hơn bạn nghĩ
Nguyên tắc tối thiểu quyền quen thuộc với dân hosting. Ai cần dùng gì thì chỉ được dùng đúng thứ đó. Áp vào phòng máy, nó có nghĩa là danh sách người được vào phải rất ngắn.
Chúng tôi thường đề xuất một quản trị chính và một người dự phòng. Hai người là đủ để có người xử lý khi một người đi vắng. Thêm người thứ ba, thứ tư thì rủi ro tăng nhanh hơn lợi ích.
Kỹ thuật viên bên ngoài vào theo lịch hẹn và có người đi kèm. Đó có thể là người bảo trì mạng hay đơn vị cài thiết bị. Họ không cần mã riêng và càng không cần chìa. Khi việc xong, họ ra, cửa khóa lại.
Chìa cơ, thẻ từ hay vân tay: so sánh theo nhu cầu phòng máy nhỏ
Ba cách mở phổ biến đều có chỗ hợp và chỗ không. Bảng dưới đây đặt chúng cạnh nhau theo nhu cầu của phòng máy.
| Cách mở | Mặt mạnh | Mặt yếu | Hợp khi |
|---|---|---|---|
| Chìa cơ | Rẻ, không cần pin | Khó biết ai đang giữ, dễ sao chép thêm | Một hai người, ngân sách rất hạn chế |
| Thẻ từ | Cấp và thu hồi từng thẻ | Dễ thất lạc, dễ cho mượn | Nhóm vừa, có người quản lý thẻ |
| Vân tay | Gắn với từng người, khó cho mượn | Cảm biến có thể đọc sai khi tay ướt hoặc dính bụi | Danh sách ngắn, cần biết quyền từng người |
Không cách nào thắng ở mọi mặt, nên hãy chọn theo số người và ngân sách của bạn. Muốn mở qua ứng dụng hoặc quản lý tập trung, bạn nên tìm hiểu thêm về khóa cửa thông minh.
Ngân sách hạn chế thì cứ ưu tiên cửa phòng máy trước những cửa khác. Phòng chứa dữ liệu của cả công ty xứng đáng được bảo vệ hơn phòng họp. Ở đó, khóa vân tay giá rẻ là một lựa chọn đáng cân nhắc.
Chọn khóa vân tay giá rẻ cho cửa phòng máy: những điểm cần soi
Khóa rẻ không có nghĩa là thiếu các tính năng cần thiết. Có ba mục bạn nên soi khi chọn cho phòng máy.
Mục đầu tiên là khả năng xóa vân tay từng người. Khi quản trị viên nghỉ việc, bạn cần xóa đúng người đó mà không ảnh hưởng ai khác. Mục thứ hai là lưu lịch sử mở cửa. Tính năng này tùy mẫu, nên hãy hỏi rõ nhà bán. Mục thứ ba là cách mở dự phòng khi khóa hết pin hoặc lỗi.
Phòng máy còn có điều kiện riêng: thường nóng và nhiều bụi. Hãy hỏi nhà bán xem thiết bị chịu được môi trường nào. Đừng giả định mọi mẫu đều chạy tốt trong phòng máy. Để có chuẩn đối chiếu, bạn có thể xem các mẫu khóa vân tay giá hợp lý rồi gạch từng tiêu chí.
Tình huống cần lường trước: mất điện, hết pin, quản trị viên nghỉ việc
Dân hạ tầng gọi đây là kịch bản xấu nhất. Bạn nên nghĩ tới ba chuyện trước khi chúng xảy ra.
Chuyện thứ nhất là mất điện hoặc hết pin. Chìa cơ dự phòng cất ở đâu, và ai biết chỗ cất? Nếu câu trả lời là chỉ một người biết thì đó chính là điểm nghẽn.
Chuyện thứ hai là quản trị viên nghỉ việc. Bạn cần quy trình bàn giao quyền quản trị rõ ràng, gồm cả mã, vân tay và chìa dự phòng. Muốn hiểu thêm về chuyện tự quản trị server, hãy đọc bài về nhà cung cấp hosting dạy khách tự quản trị server.
Gắn nhật ký vật lý vào quy trình vận hành
Khóa tốt đến đâu cũng chỉ là một phần của quy trình. Phần còn lại là ghi chép. Hãy đặt một cuốn sổ ghi lượt vào ra phòng máy: ai vào, giờ nào, làm gì.
Đối chiếu sổ này với lịch bảo trì và nhật ký hệ thống. Giả sử nhật ký ghi một máy khởi động lại lúc ba giờ chiều. Nếu sổ không ghi ai vào phòng, bạn có manh mối để xem lại. Việc rà soát này nên đi cùng lúc với kiểm tra sao lưu và cập nhật định kỳ. Muốn sắp xếp việc theo thứ tự hợp lý, hãy xem những quy trình nên ưu tiên số hóa trước.
Câu hỏi thường gặp
Phòng server nhỏ trong văn phòng có cần khóa riêng không?
Có. Một chiếc khóa riêng giúp bạn giới hạn ai được chạm vào thiết bị. Nếu tủ rack đã có khóa, cửa phòng vẫn nên khóa vì hai lớp bổ trợ nhau.
Khóa vân tay có thay được camera hay nhật ký ra vào không?
Không thay hoàn toàn. Khóa cho biết ai có quyền mở cửa, còn camera ghi hình ảnh và sổ ghi ai vào để làm gì. Ba thứ này bổ sung cho nhau.
Nếu khóa hết pin hoặc lỗi thì vào phòng máy bằng cách nào?
Hãy chọn mẫu có cách mở dự phòng, thường là chìa cơ hoặc nguồn khẩn cấp. Cất chìa ở nơi an toàn và thử cách mở dự phòng một lần sau khi lắp.
Nếu cần so sánh thêm các dòng khóa khác, bạn có thể xem thêm trên trang của hãng. Bạn cũng có thể nhắn đội ngũ tư vấn của hãng để chọn mẫu hợp với phòng máy của mình.