S4-8G 的安全基线配置

发布时间:2026-10-08 16:49

新服务器交付后的第一个小时，决定它之后的安全下限。顺云 S4-8G 默认带 60G DDoS 防御，这解决的是流量层攻击；应用层的账号、端口、日志三件事，仍要管理员自己打基础，漏掉哪件，后面都可能变成事故入口。下面是一份可以照做的基线清单。 端口只留必需的 先用 ss -lntp 盘点监听端口，关掉用不到的服务，每个留着的端口都要能回答"它是干嘛的"。SSH 建议只允许密钥登录：编辑 /etc/ssh/sshd_config，设 PasswordAuthentication no，重启 sshd 生效。防火墙按需放行，以 firewalld 为例： firewall-cmd --permanent --add-service=https && firewall-cmd --reload 数据库、Redis 一律不暴露公网，绑定 127.0.0.1 或内网地址；确实需要远程管理的，走 SSH 隧道或内网跳板，不直接开公网端口。临时调试开的端口，用完记得关，拖过一周就没人记得它了。 专用账号跑专用服务 应用不要用 root 跑，root 意味着应用被攻破后，攻击者直接拿到整机权限。建一个无登录权限的系统账号：useradd -r -s /sbin/nologin appuser，在 systemd 服务单元里加 User=appuser 启动应用。数据库同理，业务库只授权给专用账号，并按库粒度给权限： GRANT SELECT,INSERT,UPDATE,DELETE ON appdb.* TO 'app'@'localhost'; root 只留给管理员做系统维护，业务账号只碰业务的库。应用目录的属主也交给专用账号，与 Web 服务的运行用户分离，避免互相覆盖文件。 日志与审计留痕 SSH 登录记录看 /var/log/secure（Ubuntu 在 /var/log/auth.log），重点筛查异常的登录失败频率，同一来源短时间上百次失败就是典型的爆破行为。轻量审计做法是给命令历史加时间戳：/etc/bashrc 里追加 export HISTTIMEFORMAT="%F %T "。更完整的方案用 auditd：auditctl -w /etc/passwd -p wa -k identity 监控关键文件变更，谁改了账号文件一查便知。日志目录单独留磁盘空间或配置轮转，审计日志撑爆磁盘反而是自伤。 收尾：这份清单半小时能做完，之后每月抽十分钟复查登录日志即可。安全基线的价值不在高深，在于没有遗漏，做完的每一项都值得记进运维文档留底。基线不是一劳永逸，人员更替、服务增减时都要重新过一遍清单。