安全加固

安全加固 是把服务器的可被攻击面收小这件事：只开放必须的端口，只留必须的账号与权限，把默认口令与调试入口关掉，让入侵难发生、发生了也难藏^[1]。它不是装某个软件，而是一组持续生效的配置。

入口层

公网可达的端口越少越好：面板后台、SSH、数据库端口默认都不该直接暴露^[2]。云环境里这一层由安全组控制，机器内部再由防火墙补一层^[3]。

面板后台改端口或加访问限制，SSH 关掉密码登录与 root 直登，失败次数触发临时封禁，这几项能挡掉绝大部分扫描式尝试^[2]。

账号与凭据

最小权限原则：能给只读就不要给写，能单独建账号就不要共用。备份与对象存储的凭据要能上传但不能删除，防止一处泄露把退路一起清掉^[1]。

口令与密钥分开管理，写进站点配置的明文密钥是常见突破口^[3]。

应用层

系统与语言运行时、CMS 与插件都要保持在受支持的版本上^[4]。上传目录限制脚本执行权限，目录穿越与可执行上传是常见利用点^[2]。

对外输出的信息要收：错误详情不显示到页面，备份与日志文件不放在可下载路径^[1]。

出事之后

被挂马的处理不只删文件：改过的文件要清干净，账号与凭据要换，来源要找到，否则同样问题会重复出现。Google 对这类情况有专门的修复指引，并说明被黑内容会影响站点在结果中的显示^[5]。

日志与监控在这里承担发现的角色：内容异常、请求异常、登录异常三处都要有通知^[3]。

常见误用

第一种是加固做完就再也不看，规则随业务变化失效。第二种是只关端口不改默认口令。第三种是把备份与站点放同一套凭据下，攻下机器即断退路^[1]。

附录

参见

• 运维操作
• 系统更新与补丁
• 被黑与恶意软件
• 证书链与续期
• 访问日志
• 自动备份

参考资料

官方（境外）

1. 《CIS Benchmarks》，Center for Internet Security。
2. 《OpenSSH 文档》，OpenBSD 项目。
3. 《阿里云 ECS 安全组》，阿里云计算有限公司。
4. 《PHP 支持的版本》，PHP。
5. 《修复被黑网站》，Google 搜索中心。

外部链接

• fail2ban 文档，fail2ban 项目。