防黑客的核心在于构建纵深防御体系，从系统、网络、应用、数据四个层面层层设防。对于云服务器，除了自身安全配置，还要善用云平台提供的安全组、WAF等原生能力。
以下是云服务器防黑客的实战指南：
一、 基础安全配置（必做）
- 修改默认端口：将默认的 SSH (22)、RDP (3389) 端口改为高位随机端口，减少自动化脚本的扫描概率。
- 密钥登录替代密码：禁用密码登录，仅使用 SSH Key 登录（Linux），并设置强密码策略（Windows）。
- 最小权限原则：严禁使用 Root/Administrator 直接运行应用。为不同服务创建独立用户，并限制其权限。
- 及时更新补丁：定期执行
yum update 或 apt update，修复系统及应用（如 Nginx, Redis, MySQL）的已知漏洞。
二、 网络安全防护
- 安全组/防火墙策略：
- 白名单机制：只开放 80/443 等必要端口，数据库端口（3306等）绝对不要对公网开放，仅允许内网或特定 IP 访问。
- 限制登录 IP：在安全组中限制 SSH/RDP 端口仅允许公司或家庭固定 IP 访问。
- DDoS 防护：开启云厂商提供的免费基础 DDoS 防护。若业务易受攻击，购买高防包或高防 IP。
- 云 WAF：部署 Web 应用防火墙，防御 SQL 注入、XSS 跨站脚本、CC 攻击等 HTTP/HTTPS 层面的攻击。
三、 应用与数据安全
- 防暴力破解：安装 Fail2ban（Linux）或使用云安全中心的防暴力破解功能，自动封禁可疑 IP。
- 备份策略：
- 3-2-1 原则：保留 3 份副本，存储在 2 种不同介质，其中 1 份异地备份。
- 快照与镜像：定期制作云硬盘快照，并开启自动快照策略。
- 异地容灾：将核心数据备份到对象存储（OSS/COS）或另一台服务器。
- 敏感数据保护：
- 数据库开启 SSL 加密连接。
- 敏感配置文件（如
.env）设置严格的读写权限（如 chmod 600）。 - 不要将密钥、密码硬编码在代码中。
四、 进阶监控与响应
- 入侵检测：部署 HIDS（主机入侵检测系统），如 Wazuh 或云厂商的“云安全中心”，实时监控文件篡改、异常进程和提权行为。
- 日志审计：开启并集中存储系统日志（/var/log/secure, audit.log）和应用日志，分析异常登录和访问记录。
- 定期漏洞扫描：使用 Nessus、OpenVAS 或云厂商的漏洞扫描服务，定期扫描服务器弱点和配置风险。
五、 常见攻击与防御对照表
| 攻击类型 | 攻击手段 | 防御措施 |
|---|
| 暴力破解 | 穷举 SSH/数据库密码 | 密钥登录、Fail2ban、安全组限制 IP |
| 漏洞利用 | 利用未修补的 Web 服务漏洞 | 及时更新补丁、配置 WAF、最小权限运行 |
| DDoS | 流量洪水导致服务瘫痪 | 高防 IP、CDN 分流、云厂商基础防护 |
| 提权攻击 | 利用系统漏洞获取 Root 权限 | 内核更新、禁用 Root 远程登录、SELinux/AppArmor |
| 数据泄露 | 拖库、配置文件泄露 | 数据库不对外、数据加密、定期备份 |
特殊场景：容器与云原生安全
如果服务器运行 Docker/K8s，还需注意：
- 镜像安全：使用官方或经过验证的基础镜像，定期扫描镜像漏洞。
- 容器隔离：避免特权容器（Privileged），限制容器的系统调用（Seccomp）和能力（Capabilities）。
- 编排安全：保护 K8s API Server，使用 RBAC 控制访问权限。
总结：安全是一个持续的过程，而非一次性配置。建议优先完成安全组白名单、密钥登录和自动快照这三项基础操作，能拦截 90% 的自动化攻击。
