S2 用户的安全自查清单

发布时间:2026-02-20 11:44

安全不必天天挂在心上，但要有固定节奏的自查。对 S2 用户来说，端口、密码、补丁、日志四个方向按月或按季度过一遍，大多数风险都能提前拦住。四个方向不必一次查完，一周查一个，一个月轮完一轮，比季度末突击轻松也更细。 一、查端口 对照安全组配置，确认入方向只放行业务必需端口：网站一般 80/443，管理端口按需。再看机器上实际监听的端口和预期是否一致： ``` ss -tlnp ``` 列表里出现不认识的服务，查清来源再决定去留；数据库、缓存类端口出现在对外监听里，立刻收紧。云侧安全组和系统防火墙两层都过一遍，两层不一致的地方就是隐患。 二、查密码与密钥 所有登录账号过一遍：SSH 是否已禁用密码登录、只留密钥；还在用密码的，换成长随机串。`cat ~/.ssh/authorized_keys` 里逐个核对公钥归属，多人维护的机器让每个人认领自己的密钥，认领不出去的就是该删的。应用配置文件里的数据库密码、接口密钥，检查是否还是初始默认值。 三、查补丁 系统补丁看两处：安全更新是否装到位，CentOS 用 `yum updateinfo list security` 查待装的安全补丁，Ubuntu 用 `apt list --upgradable` 过一遍；Web 程序和插件同理，博客、论坛类程序的历史版本漏洞是扫描器的重点目标，升到新版本是成本最低的防护。 四、查日志 登录日志每周值得翻一次：`last -20` 看最近登录来源，再统计爆破尝试： ``` grep "Failed password" /var/log/secure | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head ``` 来源集中在个别 IP 段且频率很高，说明正被持续爆破，密码登录若还没禁用就该禁了。业务日志里顺便查异常请求路径，批量扫描路径出现时在安全组或应用层封掉。每次自查发现的项和处置结果记进同一份文档，几轮之后，这台机器的安全状况就有了连续的底账。 四查守住的是系统层和应用层，S2 的防御解决流量层的问题，两层都落实，安全上才算两头都有底。