安全组配错等于大门敞开：云服务器防护的四道关

云服务器被入侵的案例里，绝大多数不是因为漏洞多高级，而是安全组配得太松：22端口对全网开放、数据库端口暴露在公网、默认密码没改。

第一道关是安全组。原则是最小开放，只放必要的端口。Web业务开80和443，管理端口只允许公司固定IP访问，数据库端口一律不对公网开放。

第二道关是系统层。关闭不必要的服务，禁用root远程登录，改用密钥登录，开启防火墙做二次过滤。这些是基础操作，但仍有大量服务器没做。

第三道关是应用层。Web应用防火墙能挡住大部分注入和扫描，成本不高。如果站点有登录功能，务必加验证码和失败次数限制，防止撞库。

第四道关是监控与告警。CPU突然跑满、外连异常IP、日志出现大量404，这些都是被扫描或入侵的前兆。配好告警，能在损失扩大前介入。

备份是最后的保险。就算被入侵，有干净备份就能快速恢复。备份要离线或异地存放，不要和被攻击的机器放在同一账号同一区域。

还有几个细节容易被忽略：云主机的元数据服务要限制访问，避免SSRF漏洞被利用获取临时凭证；镜像要选官方源，不要用来源不明的镜像。

定期做一次自查很有必要。用外部端口扫描工具扫一下自己的公网IP，看看有哪些端口暴露着，往往会有意外发现。

安全这件事，配置一次不够，要定期复核。需要一份自查清单，可以在【技术讨论QQ群：546946590，资深云服务专家微信：cloud7591】里索取。