一份服务器基线加固清单

新服务器装完系统到正式上线之间的那段时间，是做基线加固的最佳时机。基线加固不追求高深技巧，把账号、端口、补丁、日志、备份五块做完，就能挡掉绝大多数低级入侵。 账号这一块做四件事：禁用 root 直接远程登录，在 sshd_config 里设 PermitRootLogin no，日常用普通账号加 sudo；SSH 认证换成密钥，关闭密码认证；清理系统里用不着的账号，对照检查 /etc/passwd 有无异常用户；为每位运维人员建立独立账号，不留共用账号——出了事才能对上人。 端口这一块的原则是默认拒绝。在云安全组与主机防火墙里只放行业务必需的端口，管理端口收窄到固定出口 IP。用 ss -tulnp 列出全部监听，逐个问一句"这个端口必须对公网开放吗"，答案是否的就关掉，数据库、缓存这类内部服务一律绑定内网地址。 补丁这一块建立周期：每周或每两周执行一次 yum update 或 apt upgrade，重点跟进安全更新；Nginx、PHP、数据库这类 Web 组件的大版本升级，先在测试环境过一遍再上生产。升级窗口安排在业务低峰，提前发内部通知，避免有人正改配置时被重启打断。被入侵的服务器里，很大比例是带着过期组件在公网上裸奔的。 日志这一块解决"出了事有据可查"：配置 logrotate 防止日志撑爆磁盘；重要机器把日志远程同步一份到独立的日志服务器，rsyslog 转发即可——本机痕迹可能被入侵者抹掉，远程那份抹不掉。 备份这一块按 3-2-1 落地：三份副本、两种介质、一份离线，并定期演练恢复流程。勒索与误操作的最终退路都指着他，只备不练等于没备。 五块内容没有一样需要深厚功底，难在做全、做勤。建议把清单整理成上线检查表，每台新机器过一遍，每季度再复检一遍，安全状况就能稳定在一个不差的基础水平上。