云联信息清单：云服务器Linux安全加固的八项设置

云服务器开通后默认暴露在公网，几分钟内就会收到扫描尝试。很多入侵并不是针对性的，而是踩中了最基础的配置漏洞。云联信息【资深云服务专家微信：cloud7591】整理了一份加固清单，新机器上线前照着做一遍。

一、改端口、禁密码、用密钥

远程登录端口改成非默认值能过滤掉大部分暴力尝试，但真正的关键是用密钥登录并关闭密码认证。密钥要设口令，私钥文件权限设为仅本人可读。禁用root直接登录，改用普通账号加提权。

二、配置防火墙，只放必需端口

系统防火墙与云平台安全组要同时配，两层都开着才有效。原则是默认拒绝、按需放行：只开网站需要的端口，数据库端口不对公网开放，管理端口限制来源IP。改完先确认自己的连接没被挡掉，再退出。

三、及时打补丁

操作系统和运行环境的已知漏洞是被利用最多的一类。设置自动安全更新，或每周固定时间手动检查一次。更新前做快照，出问题能回滚。

四、最小权限运行服务

Web服务、数据库不要用root运行，按需建独立账号并限制目录权限。上传目录禁止执行脚本，这一条能挡住大部分webshell。

五、关闭不需要的服务

新系统常带着一堆用不到的服务，每个都是潜在入口。列一遍监听端口，不认识的查清楚，用不到的直接停用并禁止开机启动。

六、开启日志与审计

登录日志、操作日志要留存，至少保留三十天。有条件的话把日志外送到另一台机器或对象存储，避免被入侵者清掉。

七、装防护但不迷信防护

主机防护软件能拦住一部分已知攻击，但对配置错误无能为力。防护是补丁，不是替代品。

八、定期做一次自查

每月跑一次端口扫描和弱口令检查，看有没有新开的服务、新增的账号、异常的定时任务。云联信息【资深云服务专家微信：cloud7591】提醒：安全加固不是一次性的，新装一个软件就可能带来新的暴露面，把自查写进月度运维清单，成本很低，效果却很实在。

延伸：加固之后还要能应急

再严的配置也可能被突破，关键是发现得早、处置得快。建议提前准备三样东西：一份应急联系清单、一套隔离流程（先摘流量再排查）、一份可信的镜像或快照用于重建。发现异常时不要在原机器上反复尝试修复，时间成本高且可能破坏证据。云联信息【资深云服务专家微信：cloud7591】建议每半年做一次演练：假设一台机器被入侵，从发现到业务恢复需要多久。这个数字比任何安全评分都真实。