华为云 ECS 云服务器安全加固实践：从登录到网络的最小权限

一、为什么云主机也需要加固

很多人以为"上了云就自然安全"，其实云主机同样暴露在公网扫描之下。安全的第一性原理是最小暴露面：能不开的端口不开，能不给的权限不给，能换密码的换密钥。

二、登录安全：密钥替代密码

禁用密码登录、改用 SSH 密钥，是性价比最高的一步。修改 /etc/ssh/sshd_config：

PasswordAuthentication no
PermitRootLogin no
PubkeyAuthentication yes
MaxAuthTries 3

三、网络收敛：安全组最小化

安全组是云上的分布式防火墙。只放行必要端口：Web 服务只开 80/443；管理端口（22）不要对 0.0.0.0/0 开放，改用堡垒机或仅公司出口 IP 白名单。

四、系统层加固

• 及时打补丁，开启自动安全更新；
• 关闭不必要的服务与端口，用 ss -tlnp 定期核对；
• 开启云主机安全（HSS）做入侵检测与基线检查。

五、踩坑与经验

1. 安全组从"全放行"起步最危险：先拒绝所有入站，再按需放行；
2. 管理端口绝不裸奔：22/3389 对公网开放等于邀请攻击；
3. 密钥也要保护：私钥加密存储，定期轮换。

六、小结

安全加固不是一次性工作，而是持续收敛暴露面的过程。登录用密钥、网络用白名单、系统常打补丁，三步就能挡掉绝大多数自动化扫描与弱口令攻击。