如何保证自己部署的服务器安全

系统已更新至最新防火墙已启用且仅开放必要端口SSH已配置：密钥认证、改端口、禁用root登录已创建非特权用户已安装并配置 Fail2ban各服务（Web、数据库）以非特权用户运行数据库已进行安全初始化（改密码、删匿名用户）已配置自动备份并测试恢复网站已配置HTTPS已制定系统更新和日志检查计划遵循以上步骤，你的服务器安全性将远超绝大多数默认安装的服务器。安全是一个不断迭代的过程，保持警惕和学习至关

ITHomeZSL

598人浏览 · 2025-08-24 14:51:50

ITHomeZSL · 2025-08-24 14:51:50 发布

当然！保障自己部署的服务器安全是一个系统性的工程，涉及从基础设施到应用层的多个层面。下面我将为你提供一个从入门到精通的、层次化的服务器安全加固指南。

你可以遵循以下流程图来系统地开展安全工作，它将整个过程分为了四个关键阶段：

flowchart TD
    A[服务器安全部署流程] --> B

    subgraph B [第一阶段：基础加固]
        direction LR
        B1[更新系统与软件<br>最小化安装]
        B2[防火墙配置<br>（仅开放必要端口）]
        B3[创建低权限用户<br>禁用root远程登录]
        B4[使用SSH密钥认证<br>更改默认端口]
    end

    B --> C

    subgraph C [第二阶段：服务与访问控制]
        direction LR
        C1[非SSH服务配置<br>（最小权限原则）]
        C2[安装与配置入侵检测系统<br>（如Fail2ban）]
        C3[文件系统权限控制<br>（禁用SUID/GUID）]
        C4[配置定期自动备份]
    end
    
    C --> D

    subgraph D [第三阶段：应用与数据安全]
        direction LR
        D1[Web应用防火墙<br>（WAF）]
        D2[数据库安全配置<br>（修改默认端口、限制访问）]
        D3[使用HTTPS加密传输<br>（TLS 1.2/1.3）]
    end

    D --> E

    subgraph E [第四阶段：持续维护与监控]
        direction LR
        E1[定期更新系统与软件]
        E2[监控日志与系统性能<br>（如配置审计服务）]
        E3[定期进行漏洞扫描<br>与安全评估]
    end

第一阶段：基础设置与加固 (First Line of Defense)

这是服务器上线前必须做的最低限度安全配置。

系统更新与最小化安装
- 更新系统：首次启动后，立即更新所有软件包。
```
# 对于 Ubuntu/Debian
sudo apt update && sudo apt upgrade -y
sudo apt autoremove

# 对于 CentOS/RHEL
sudo yum update -y
# 或者使用 dnf
sudo dnf upgrade -y
```
- 最小化安装：只安装运行服务所必需的软件包。每多一个软件，就多一个潜在的攻击面。

配置防火墙 (Firewall)

使用系统自带的防火墙（如 UFW (Ubuntu) 或 firewalld (CentOS)）或 iptables 来严格控制进出流量。
默认拒绝所有连接，只允许必要的端口（如：Web服务器开放80/443，SSH开放自定义端口）。

示例 (UFW)：

sudo ufw default deny incoming # 默认拒绝所有入站连接
sudo ufw default allow outgoing # 默认允许所有出站连接
sudo ufw allow 22/tcp          # 允许SSH（在更改端口前先执行这步！）
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable                # 启用防火墙

强化 SSH 安全 (重中之重)
SSH是进入服务器的大门，必须重点防护。
- 禁用密码登录，使用密钥对认证：密钥比密码安全得多。
- 更改默认端口 (22)：减少自动化脚本的扫描和攻击。
- 禁用 root 用户直接登录：先用一个普通用户登录，再切换到 root。
- 使用强密码（如果必须用密码）：即使使用密钥，某些用户账户的密码也要足够复杂。
- 示例 (/etc/ssh/sshd_config)：
```
Port 59234                   # 改为一个自定义端口（1024-65535）
PermitRootLogin no           # 禁止root登录
PasswordAuthentication no    # 禁用密码认证
PubkeyAuthentication yes     # 启用密钥认证
```
  修改后重启SSH服务：sudo systemctl restart sshd
创建非特权用户
- 日常使用一个普通用户账户，仅在需要时使用 sudo 获取 root 权限。

第二阶段：服务与访问控制 (Service Hardening)

非SSH服务的安全配置
- 以非特权用户运行服务：如Nginx、MySQL等都应使用专用用户运行，而不是root。
- 遵循最小权限原则：每个服务只拥有它运行所必需的最低权限。
- 修改默认端口：如果可能，为数据库等服务更改默认端口。
- 限制监听地址：仅让服务监听在必要的IP地址上（例如，内部数据库只监听127.0.0.1）。
安装和配置入侵检测系统 (IDS) - Fail2ban
- Fail2ban 可以监控日志文件，当发现多次失败的登录尝试后，会自动封禁该IP地址一段时间。
- 它可以用于SSH、Web服务器（防止暴力破解）等多种服务。
文件系统和权限审计
- 确保敏感文件（如/etc/passwd, /etc/shadow）的权限正确。
- 查找并检查设置了SUID/GUID位的文件，这些文件可能被利用进行权限提升。
```
find / -type f -perm /6000 -ls
```
设置备份
- 安全的第一条规则：一定有备份！
- 制定自动化备份策略，将数据备份到另一台服务器或云存储中。
- 定期测试备份恢复，确保备份是有效的。

第三阶段：应用与数据安全 (Application Layer)

Web 应用防火墙 (WAF)
- 如果你运行Web服务（如Nginx/Apache），可以考虑使用WAF（如 ModSecurity）来防御SQL注入、XSS等常见Web攻击。
数据库安全
- 修改默认密码：安装后立即为root用户设置强密码。
- 删除匿名用户和测试数据库。
- 限制远程访问：除非必要，否则只允许本地连接。
使用 HTTPS
- 使用 Let’s Encrypt 等免费服务为你的网站获取SSL/TLS证书，强制所有流量使用HTTPS加密。

第四阶段：持续维护与监控 (Ongoing Maintenance)

安全不是一劳永逸的，而是持续的过程。

定期更新系统
- 设置无人值守更新或定期手动更新系统及软件，及时修补安全漏洞。
```
# Ubuntu 可配置无人值守更新
sudo apt install unattended-upgrades
```
日志监控
- 集中管理并定期检查系统日志（/var/log/auth.log, /var/log/syslog等），关注异常登录和错误。
- 可以使用更专业的日志监控工具（如 Logwatch, rsyslog 转发到中央日志服务器）。
漏洞扫描与入侵检查
- 使用工具（如 Lynis, ClamAV）进行系统漏洞扫描和恶意软件检测。
- 使用 rkhunter 检查 rootkit。
- 定期检查系统上的陌生用户、陌生进程和陌生连接。