新购华为云Flexus应用服务器L实例简单加固

🔒 FlexusL 实例安全加固清单

一、网络层 —— 控制台防火墙（最优先）

FlexusL 自带实例级防火墙（不是 VPC 安全组，是 FlexusL 独有的简化防火墙），在控制台「实例详情 → 防火墙」里配置。

⚠️ 最常见的事故：买完实例默认 22 端口对全网开放，几小时内就会被扫描爆破。拿到实例第一件事就是收紧防火墙。

二、SSH 加固（登录后操作）

SSH 进去后编辑 /etc/ssh/sshd_config：

# 1) 禁止 root 直接密码登录（改用密钥）
PermitRootLogin prohibit-password

# 2) 禁止密码认证，只用密钥
PasswordAuthentication no

# 3) 修改默认端口（可选但推荐，避开大量自动扫描）
Port 22222    # 改后在防火墙里放行新端口、关闭 22

# 4) 限制登录超时与重试
LoginGraceTime 30
MaxAuthTries 3
ClientAliveInterval 300
ClientAliveCountMax 2

# 5) 禁止空密码
PermitEmptyPasswords no

# 6) 限制允许登录的用户
AllowUsers yourname

改完验证语法再重启：

sshd -t && systemctl restart sshd

操作顺序很重要：先确保密钥能登录（ssh -i key.pem yourname@ip），再关密码认证，否则会把自己锁在外面。

三、系统账户加固

# 1) 创建普通运维用户（如果还没有）
useradd -m -s /bin/bash ops
# 上传公钥到 /home/ops/.ssh/authorized_keys

# 2) 给 sudo 权限但免密（或需要密码，看你偏好）
echo "ops ALL=(ALL) NOPASSWD:ALL" > /etc/sudoers.d/ops
chmod 440 /etc/sudoers.d/ops

# 3) 锁定无用系统账户的 shell
for u in bin daemon adm lp sync shutdown halt mail news uucp operator games; do
  usermod -s /sbin/nologin "$u" 2>/dev/null
done

# 4) 设置密码策略（如果仍保留密码登录）
# 编辑 /etc/login.defs
PASS_MAX_DAYS   90
PASS_MIN_DAYS   1
PASS_MIN_LEN    12
PASS_WARN_AGE   7

# 5) 检查空密码账户
awk -F: '($2==""){print $1}' /etc/shadow

四、系统更新与补丁

# Ubuntu/Debian
apt update && apt upgrade -y
# 安装自动安全更新
apt install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

# CentOS/HCE/EulerOS
yum update -y
# HCE 2.0 自带 hotpatch 机制
# 检查热补丁状态
hotpatch list

FlexusL 常见镜像有 Huawei Cloud EulerOS(HCE)、Ubuntu、CentOS。HCE 是华为自研，安全补丁跟得比较紧，推荐优先选。

五、关闭不必要的服务

# 查看开机自启服务
systemctl list-unit-files --state=enabled

# 常见可关闭的（按需）
systemctl disable --now postfix      # 不发邮件就关
systemctl disable --now avahi-daemon # mDNS，服务器不需要
systemctl disable --now cups         # 打印服务
systemctl disable --now rpcbind     # NFS 相关，不用就关

六、内核参数加固

cat >> /etc/sysctl.d/99-hardening.conf << 'EOF'
# 禁用 ICMP 重定向
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0

# 禁用源路由
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0

# 开启反向路径过滤
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1

# 忽略 ICMP 广播
net.ipv4.icmp_echo_ignore_broadcasts = 1

# SYN Flood 防护
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 4096

# 禁用 IPv6（如果不用）
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1
EOF

sysctl --system

七、文件权限与关键目录

# 设置关键文件权限
chmod 700 /root
chmod 600 /etc/ssh/sshd_config
chmod 600 /boot/grub2/grub.cfg 2>/dev/null
chmod 600 /etc/sudoers

# 查找 SUID/SGID 文件（异常的需排查）
find / -perm /6000 -type f 2>/dev/null | grep -vE '^/(usr|bin|sbin|lib|lib64)/'

# 查找全局可写目录（异常的需排查）
find / -writable -type d 2>/dev/null | grep -vE '^/(tmp|var/tmp|dev|proc|sys)/'

八、主机安全服务（HSS）

这是华为云原生能力，强烈建议开启：

1. 进入控制台 → 主机安全服务（HSS） → 安装 Agent
2. FlexusL 实例默认会自动安装 HSS Agent，确认状态为「在线」
3. 开启 基础版（免费）或 企业版（收费，有漏洞扫描 + 入侵检测 + 合规检查）
4. 开启 告警通知，绑定邮箱/短信

HSS 能帮你：

• 自动扫描系统漏洞并提示修复
• 检测异常登录、暴力破解、提权行为
• 检查配置合规性（CIS benchmark）
• 网页防篡改（企业版）

九、监控与日志

# 1) 安装 CES Agent（云监控），FlexusL 控制台可一键开启
#    能监控 CPU/内存/磁盘/网络，设置告警阈值

# 2) 配置 rsyslog 远程日志（可选，有日志服务器时）
#    编辑 /etc/rsyslog.conf，添加:
#    *.* @@your-log-server:514

# 3) 设置登录审计
#    安装 auditd
apt install -y auditd   # 或 yum install -y audit
systemctl enable --now auditd

# 4) 配置命令历史时间戳（方便溯源）
echo 'export HISTTIMEFORMAT="%F %T "' >> /etc/profile

在 FlexusL 控制台设置告警：

• CPU 持续 > 80% 告警
• 磁盘使用率 > 85% 告警
• 入站带宽异常飙升告警

十、数据备份

# 1) FlexusL 支持手动/自动快照备份（控制台 → 磁盘 → 备份）
#    建议设置每日自动快照，保留 7 天

# 2) 如果跑数据库，额外做逻辑备份
#    mysqldump / pg_dump 定时任务 + 上传到 OBS

十一、Web 应用层（如果跑 Web 服务）

# Nginx 安全头
server {
    # 隐藏版本号
    server_tokens off;
    
    # 安全响应头
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-XSS-Protection "1; mode=block" always;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
}

如果用了 FlexusL 自带的 WordPress / LNMP 应用镜像：

• 首次登录立即改默认管理密码
• 删除 phpinfo() 等调试页面
• PHP 禁用危险函数：disable_functions = exec,passthru,shell_exec,system,proc_open,popen

📋 加固优先级速查