华为云社区博文：云服务器安全基线加固实操，低成本抵御常见入侵风险

前言

很多中小企业和个人开发者上云之后，重心都放在业务开发上，很容易忽略云服务器的基础安全配置。弱密码、多余开放端口、未禁用无用账号、日志不留存等问题，会让 ECS 暴露在网络攻击之下。本文基于华为云 ECS，分享一套可直接落地的安全基线加固方案，全程不需要额外购买高价安全产品，适合运维、开发者参考。

一、先做基线检查，摸清服务器安全现状

在动手加固之前，先完成基础巡检，重点核查这几项：

1. 账号：查看服务器所有用户账号，排查陌生账号，确认 root 和普通用户权限；
2. 密码策略：检查密码有效期、最小长度、连续错误登录锁定机制；
3. 端口：核查监听端口，关闭业务不需要的端口；
4. 远程登录：SSH 登录配置，禁止 root 直接远程登录；
5. 日志：系统登录日志、操作审计日志是否开启。

可以使用华为云主机安全服务（HSS）一键执行基线检测，自动输出风险清单，省去手动一条条核对的时间，快速定位高危项。

二、核心加固步骤

1. SSH 远程登录优化

这是服务器最容易被暴力破解的入口。

• 修改 SSH 默认 22 端口（按需）；
• 设置PermitRootLogin no，禁止 root 账号直接 SSH 登录；
• 开启登录失败锁定，连续多次密码错误自动封禁 IP；
• 优先使用密钥登录，关闭密码登录方式，彻底杜绝密码爆破。

提醒：修改 SSH 配置前，建议保留一个本地控制台窗口，防止配置错误导致无法远程连接。

2. 账号与密码安全

• 删除长期闲置、业务不用的系统账号；
• 设置密码复杂度：不少于 8 位，包含大小写字母、数字、特殊符号；
• 配置密码过期机制，定期更换密码；
• 遵循最小权限原则，业务使用普通账号运行程序，不要用 root 跑业务。

3. 防火墙与网络访问控制

华为云 ECS 包含两层防护：安全组 + 系统内部防火墙。

• 安全组只放行业务必需端口，拒绝全网段的入方向访问；
• 限制源 IP，例如仅办公网 IP 可以 SSH 连接服务器；
• 系统内部 firewalld/iptables 作为第二层防护，双重兜底。

4. 系统补丁与恶意文件巡检

• 开启系统安全补丁更新，定期修复内核、组件漏洞；
• 定期检查计划任务（crontab），排查异常定时脚本；
• 监控可疑进程，发现挖矿、木马程序及时清理。华为云 HSS 可以自动查杀恶意进程与文件。

5. 操作日志留存

开启系统审计日志，记录用户登录、文件修改、命令执行行为。一旦发生入侵事件，可以依靠日志追溯攻击路径，定位问题根源。日志建议单独存储，避免攻击者篡改本地日志。

三、加固后验证方法

加固完成不能直接完事，需要验证效果：

1. 尝试用 root 账号 SSH 远程登录，确认登录被拒绝；
2. 使用错误密码多次登录，验证 IP 自动锁定功能生效；
3. 扫描端口，确认多余端口已经无法访问；
4. 重新运行安全基线检测，高危风险项全部清零。

四、日常运维安全习惯

安全加固不是一次性工作，需要持续维护：

1. 上线新服务器，先加固再部署业务；
2. 定期重新执行安全基线扫描；
3. 权限变更、业务扩容时，同步调整安全组规则；
4. 不要随意把服务器密码、密钥文件传到公网、代码仓库。

总结

云服务器安全，核心是最小权限原则。很多入侵事件，根源都是基础安全配置缺失。依托华为云 ECS + 主机安全 HSS，搭配这套基线加固方案，不用很高成本，就能大幅降低服务器被暴力破解、植入木马的风险。