如何建立主动防御？
美国、香港服务器
如何建立主动防御？
02-09 来源:
一、主动防御的核心思路（一句话）
自动发现 → 自动拉黑 → 自动清理 → 自动告警 → 不让恶意行为第二次发生
我下面直接给你可复制、可执行、可立刻生效的完整方案，按顺序做一遍，服务器就进入 “主动防御模式”。
二、第一层：宝塔防火墙 + 自动拉黑（最关键）
1. 开启宝塔防火墙 + 防端口扫描
宝塔 → 安全 → 防火墙
开启防火墙
开启 SYN 防御
开启 防端口扫描
开启 IP 访问频率限制（每分钟 30～50 次）
作用：只要有人扫端口、疯狂连接、发包，自动拉黑，不用你管。
2. 强制开启：自动拉黑攻击 IP
宝塔 → 安全 → Web 防火墙 → CC 防御
开启 自动拉黑攻击 IP
封锁时长：86400 秒（1 天）
频率：60 秒 / 30～60 次（根据业务调整）
作用：谁攻击、谁刷接口、谁发 CC，立刻拉黑，永久不放开。
三、第二层：Fail2ban（真正的主动防御神器）
这个是 Linux 标配，自动看日志 → 自动识别攻击 → 自动封 IP。
安装（宝塔软件商店搜 Fail2ban → 安装）
必须开启 3 条规则：
sshd（防 SSH 暴力破解）
nginx-http-auth（防网页暴力破解）
nginx-limit-req（防 CC / 高频请求）
推荐参数（直接照抄）
重试次数：5 次
检测时间：600 秒（10 分钟）
拉黑时间：86400 秒（1 天）
作用：只要有人猜密码、扫后台、刷接口，Fail2ban 自动拉黑，永不自动恢复。
四、第三层：系统层主动拦截（iptables 硬规则）
直接复制到宝塔终端执行，永久生效：
bash
运行
# 限制单IP 60秒内最多新建10个连接（防扫描/CC）
iptables -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 10 -j DROP
iptables -A INPUT -p tcp --syn --dport 443 -m connlimit --connlimit-above 10 -j DROP
# 限制单IP 60秒内最多触发5次端口探测（超过直接拉黑1小时）
iptables -A INPUT -m recent --name portscan --rcheck --seconds 3600 --hitcount 5 -j DROP
iptables -A INPUT -m recent --name portscan --set
# 默认拒绝所有未放行端口
iptables -P INPUT DROP
iptables -P FORWARD DROP
作用：任何扫描、试探、恶意连接，系统底层直接丢弃，不进 Nginx、不进宝塔、不占 CPU。
五、第四层：主动防御恶意文件（不让木马活下来）
1. 禁止 /tmp/var/tmp 执行程序（防 90% 挖矿木马）
bash
运行
mount -o remount,noexec,nosuid /tmp
mount -o remount,noexec,nosuid /var/tmp
echo "tmpfs /tmp tmpfs defaults,noexec,nosuid 0 0" >> /etc/fstab
echo "tmpfs /var/tmp tmpfs defaults,noexec,nosuid 0 0" >> /etc/fstab
作用：攻击者传马也无法运行，直接废了。
2. 定时自动清理恶意文件（主动防御）
宝塔 → 计划任务 → Shell 脚本 → 每 10 分钟执行：
bash
运行
# 清理临时目录恶意文件
rm -rf /tmp/*miner* /tmp/*hash* /tmp/*xmr* /tmp/*.sh /tmp/*.bin
rm -rf /var/tmp/*miner* /var/tmp/*.sh
rm -rf /dev/shm/*miner*
# 清空异常定时任务
grep -r -l "miner\|hash\|xmr" /var/spool/cron/ /etc/cron* | xargs rm -f
作用：恶意文件刚生成，10 分钟内自动删除。
六、第五层：主动监控 + 实时告警（你是大脑）
宝塔 → 面板设置 → 消息通知开启：
CPU 超过 80% 告警
内存超过 85% 告警
磁盘超过 90% 告警
防火墙拦截告警
Fail2ban 拉黑告警
CC 攻击告警
Web 攻击告警
支持：
钉钉
企业微信
邮件
作用：服务器一有异常，你手机立刻收到通知，比攻击还快。
七、第六层：网站层主动防御（WAF + 权限锁死）
1. 宝塔 WAF 全开
恶意 URL 拦截
SQL 注入拦截
XSS 拦截
文件上传拦截（只允许图片、文档）
路径遍历拦截
禁止执行 .php .sh .bin 上传
2. 网站目录权限最小化
bash
运行
chown -R www:www /www/wwwroot/
chmod -R 644 /www/wwwroot/
chmod -R 755 /www/wwwroot/你的网站/uploads
作用：上传不了木马，就算传了也不能执行。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
