一、身份验证与权限管理

1. 禁用密码登录，强制使用 SSH 密钥（Linux 服务器）

• 操作：生成 SSH 密钥对（ssh-keygen），将公钥添加到服务器的 ~/.ssh/authorized_keys，并在 /etc/ssh/sshd_config 中禁用密码登录（PasswordAuthentication no）。

• 优势：避免暴力破解密码，密钥比密码（建议使用 Ed25519 等高强度算法）。

2. 限制 root 登录，使用普通用户 + sudo

• 操作：创建普通用户并赋予 sudo 权限（usermod -aG sudo username），在 SSH 配置中禁止 root 直接登录（PermitRootLogin no）。

• 场景：即使普通用户权限被突破，也能限制攻击者的初始权限。

3. 定期轮换访问凭证

• 密码策略：为云服务商控制台、数据库等设置强密码（8 位以上，包含大小写、数字、符号），每 3-6 个月更换一次。

• 密钥管理：定期轮换 SSH 密钥或云服务商的 API 密钥，避免长期使用同一凭证。

二、网络安全配置

1. 利用云服务商的安全组（防火墙）

• 核心原则：小化端口开放，仅允许必要服务的端口（如 HTTP/HTTPS 的 80/443、SSH 的 22，但建议修改默认端口）。

• 示例配置：

• 允许 Web 服务：开放 80（HTTP）、443（HTTPS），来源限制为业务需要的 IP 段（如客户端或 CDN 节点）。

• 允许 SSH：修改默认端口（如 2222），来源限制为管理员的固定 IP 或通过 VPN 访问。

• 禁止所有未明确允许的入站流量。

2. 启用 VPN 或跳板机（堡垒机）

• 场景：当需要从公网访问服务器时，通过 VPN（如 OpenVPN、WireGuard）或云服务商提供的跳板机（仅允许内网访问）中转，避免服务器直接暴露在公网。

3. 开启 DDoS 防护与 Web 应用防火墙（WAF）

• 云服务商功能：阿里云、腾讯云、AWS 等均提供 DDoS 基础防护，高防 IP 需付费。

• WAF 工具：部署 Cloudflare、Imperva 或阿里云 WAF，拦截 SQL 注入、XSS、CC 攻击等常见 Web 威胁。

三、系统与软件安全

1. 及时更新系统和软件

• 操作：定期执行系统补丁更新：

• Linux：apt update && apt upgrade（Debian/Ubuntu）或 yum update（CentOS）。

• Windows：启用自动更新，安装 .NET、IIS 等组件的安全补丁。

• 工具：使用云服务商的 “补丁管理” 服务（如 AWS Systems Manager）实现自动化更新。

2. 关闭不必要的服务和端口

• 检查命令：

• netstat -tulpn（Linux）或 tasklist /svc（Windows）查看正在运行的服务和端口。

• 关闭 FTP、Telnet 等不安全协议，仅保留必要服务（如 SSH、Nginx、MySQL）。

3. 硬化服务器配置

• 禁用 IPv6 非必要接口（若未使用）：编辑 /etc/sysctl.conf，添加 net.ipv6.conf.all.disable_ipv6 = 1。

• 限制 SSH 连接尝试次数：通过 fail2ban 工具，自动封禁多次失败的 SSH 登录 IP（配置示例：/etc/fail2ban/jail.d/sshd.conf）。

• 启用 SE Linux/AppArmor：增强系统进程的访问控制（适用于 CentOS/Ubuntu）。

四、数据安全与备份

1. 数据加密

• 静态加密：使用云服务商的 EBS 加密（AWS）、云盘加密（阿里云）对磁盘数据加密，或通过 dm-crypt 手动加密分区。

• 传输加密：所有通信使用 HTTPS（通过 Let’s Encrypt 证书）、TLS 1.2+，禁用不安全的协议（如 SSLv3、TLSv1.0）。

2. 定期备份与异地存储

• 备份策略：

• 系统快照：利用云服务商的自动快照功能（如 AWS EBS 快照、腾讯云云盘备份），每日一次。

• 数据备份：对数据库（如 MySQL）使用 mysqldump 或云数据库自带的备份服务，定期备份到对象存储（如 S3、OSS）。

• 异地存储：将备份数据同步到不同地域的云服务器或本地机房，防止单区域故障导致数据丢失。

3. 敏感数据处理

• 避免在服务器存储明文密码、信用卡信息等敏感数据，使用哈希（如 bcrypt）+ 盐值加密存储，或通过密钥管理服务（KMS）加密密钥。

五、监控与应急响应

1. 实时监控与日志审计

• 工具：

• 系统监控：Prometheus + Grafana 监控 CPU、内存、磁盘 I/O、网络流量等指标。

• 日志分析：ELK 栈（Elasticsearch + Logstash + Kibana）收集分析服务器日志（如 /var/log/secure、Nginx 访问日志），检测异常登录或攻击尝试。

• 云服务商功能：启用 AWS CloudTrail、阿里云操作审计，记录所有 API 调用和管理操作。

2. 入侵检测与应急响应

• 部署 IDS/IPS：安装开源工具如 Snort（入侵检测系统）或 Suricata，实时检测网络攻击。

• 应急流程：

• 定期演练：模拟服务器被入侵场景，测试恢复流程（如从备份恢复数据）。

• 快速响应：发现异常后，立即隔离服务器（断开公网 IP）、分析日志定位漏洞，并修复后重新部署。

六、云服务商原生安全功能