新服务器 10 分钟安全加固清单：六步守住公网入口

一、为什么新服务器必须先加固

刚开通的云服务器暴露在公网上，几分钟内就会遭到暴力破解和端口扫描。默认配置的 root 密码登录、22 端口开放、无人值守的防火墙，是自动化攻击最喜欢的入口。本文给出一份 10 分钟内可完成的基础加固清单，适用于新开通的 Linux 云主机。

二、第一步：创建普通用户并禁用 root 远程登录

# 创建用户并加入 sudo 组
adduser deploy
usermod -aG sudo deploy

# 配置 sudo 免密或保留密码验证后，编辑 SSH 配置
sed -i 's/^PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config
sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
systemctl reload sshd

禁用 root 登录前，务必先验证新用户可以正常 sudo，否则会把自己锁在门外。

三、第二步：改用密钥对登录

# 本地生成密钥对（一次性）
ssh-keygen -t ed25519 -C "deploy@prod"

# 公钥安装到服务器
ssh-copy-id -i ~/.ssh/id_ed25519.pub deploy@服务器IP

# 本地免密登录测试
ssh deploy@服务器IP

密钥登录配合 PasswordAuthentication no，可彻底杜绝暴力破解。

四、第三步：配置防火墙最小化暴露面

云主机一般有双层防护：云厂商安全组 + 系统防火墙。建议两层都只放行必要端口：

# ufw 示例：只开放 SSH 和 Web
ufw default deny incoming
ufw allow 22/tcp
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable

云安全组同理，关掉 0.0.0.0/0 对数据库端口（3306/6379/27017）的访问。

五、第四步：开启自动安全更新

apt install unattended-upgrades   # Debian/Ubuntu
dpkg-reconfigure unattended-upgrades

CentOS 系可用 dnf-automatic。安全补丁的时效性直接决定漏洞被利用的窗口期。

六、第五步：部署 fail2ban 防爆破

apt install fail2ban
systemctl enable --now fail2ban

默认配置即可封禁多次 SSH 登录失败的来源 IP。查看封禁记录：fail2ban-client status sshd。

七、第六步：收敛账号与审计

• 删除或锁定长期不用的系统账号；
• 检查 crontab 与 systemd timer，排除异常定时任务；
• 安装 auditd 记录关键文件变更，日志接入云监控或统一日志服务。

八、结语

以上六步覆盖了登录方式、网络暴露、补丁时效、爆破防护和基础审计，是性价比最高的加固组合。安全是持续过程，建议后续再逐步引入堡垒机、密钥轮换和镜像基线扫描。你的加固清单里还有什么必选项？欢迎评论区补充。