#security

• Dockerfile – best practices
  cheatsheet Tra nhanh cách viết Dockerfile build nhanh, image gọn và chạy an toàn với multi-stage, layer cache, non-root, .dockerignore và HEALTHCHECK.
• Kubernetes RBAC – ServiceAccount, Role, RoleBinding
  how-to Dùng khi cần cấp quyền tối thiểu cho ServiceAccount (CI, operator, app gọi API) hoặc người dùng, và kiểm tra quyền bằng kubectl auth can-i.
• Kubernetes NetworkPolicy – default deny và allow theo label
  how-to Dùng khi cần cô lập namespace bằng NetworkPolicy, chặn mặc định rồi mở theo label Pod/namespace, kèm egress DNS để Pod vẫn phân giải tên.
• MCP transport: stdio, Streamable HTTP và xác thực OAuth
  concept Chọn transport cho MCP server (stdio hay Streamable HTTP), hiểu luồng OAuth cho remote server và các rủi ro bảo mật cần chặn trước khi mở server ra mạng.
• An toàn khi cho AI agent thao tác trên mạng thật
  concept Lộ trình và các lớp bảo vệ (read-only trước, dry-run, approval gate, commit confirmed, audit log, giới hạn blast radius) trước khi cho agent đẩy cấu hình lên router production.
• Ký commit Git bằng GPG
  how-to Tạo khoá GPG, cấu hình Git ký mọi commit và hiển thị "Verified" trên GitHub/GitLab.
• TLS và PKI – chain of trust, CA, CSR, SAN, mTLS
  concept Nắm nhanh cách TLS xác thực server/client qua chuỗi chứng chỉ, trước khi xin cert, cấu hình mTLS hay debug lỗi handshake.
• SSH hardening – sshd_config, key-only, fail2ban
  how-to Dùng khi dựng server Linux mới (jump host, collector, runner) và cần khoá SSH về key-only, giới hạn user, chặn brute-force mà không tự khoá mình ra ngoài.
• Hardening thiết bị mạng – AAA/TACACS+, SSH, mgmt ACL, bảo vệ control-plane (IOS XR, Junos)
  how-to Dùng khi đưa router IOS XR hoặc Junos vào vận hành và cần chuẩn hoá đăng nhập qua TACACS+, chỉ cho SSH/NETCONF từ dải quản trị, và lọc lưu lượng tới routing engine.
• WireGuard VPN – wg genkey, wg0.conf, wg-quick, AllowedIPs
  how-to Dựng VPN WireGuard site-to-site hoặc cho laptop quản trị vào mạng lab, hiểu đúng AllowedIPs để định tuyến và lọc peer.
• HashiCorp Vault cơ bản – KV v2, policy, AppRole, vault CLI
  how-to Dùng khi cần lưu credential thiết bị/DB trong Vault, cấp quyền đọc theo path cho người và cho automation (Ansible, CI) qua AppRole.
• Bảo mật container – non-root, read-only rootfs, capabilities, image scan
  concept Nắm các lớp bảo vệ container (image, runtime, secret) và cấu hình tương ứng trong Docker/Kubernetes trước khi đưa service lên production.
• Trivy – quét image, filesystem, IaC, repo
  cheatsheet Tra nhanh lệnh trivy để quét CVE, secret và misconfiguration trong image, thư mục code, Dockerfile/Kubernetes/Terraform và gắn vào CI.
• SNMPv3 authPriv trên IOS XR và Junos
  how-to Dùng khi thay community SNMPv2c bằng SNMPv3 có xác thực và mã hoá (authPriv) cho collector giám sát, và kiểm tra bằng snmpwalk.
• SSH certificate với CA – ssh-keygen -s, TrustedUserCAKeys, principals, host cert
  how-to Dùng khi số server/người dùng lớn và không muốn phát tán authorized_keys hay known_hosts nữa, chuyển sang SSH certificate ngắn hạn do CA nội bộ ký.
• mTLS với nginx – CA nội bộ, ssl_verify_client, test bằng curl
  how-to Dùng khi muốn chỉ client có cert do CA nội bộ cấp (collector, agent, script automation) mới gọi được API sau nginx.
• HTTP security headers – HSTS, CSP, frame-ancestors, Referrer-Policy
  cheatsheet Tra nhanh ý nghĩa và giá trị an toàn của các security header, cách thêm trong nginx và kiểm tra bằng curl.
• Nghi máy Linux bị xâm nhập – checklist phản ứng ban đầu
  troubleshooting Dùng trong giờ đầu khi nghi một server Linux bị xâm nhập, để cô lập, giữ bằng chứng và kiểm tra user, cron, process, network trước khi dọn dẹp.
• Audit logging trên Linux – auditd rules, ausearch, aureport, log tập trung
  how-to Dùng khi cần ghi lại ai sửa file cấu hình, ai chạy lệnh với quyền root, đăng nhập thành công/thất bại, và đẩy log đó về server tập trung.
• fail2ban cho sshd/nginx và so sánh với CrowdSec
  how-to Dùng khi cần tự động ban IP brute-force trên server Linux (sshd, nginx), viết filter riêng, và cân nhắc CrowdSec thay thế.