如何预防服务器被攻击？
美国、香港服务器
如何预防服务器被攻击？
06-20 来源:
一、网络层防护（第一道防线，最关键）
1. 最小化开放端口，拒绝全网放行高危端口
云安全组只放行必要端口：
Web 服务：80、443
SSH：自定义高位端口，只放行你固定公网 IP，绝对不能 0.0.0.0/0 全网开放
数据库 3306、Redis6379、宝塔面板端口等一律禁止外网访问，仅本地或内网调用
系统防火墙（firewalld/ufw）和云安全组做双重校验，里外都收紧规则
2. 部署 CC、高频扫描拦截
Nginx/Caddy 配置请求限流，限制单 IP 每秒请求次数，防刷接口、爬虫、CC 攻击
安装 Linux 安全狗，开启网络防火墙，拉黑高频扫描 IP
不要暴露服务器真实 IP，重要业务可接入高防 CDN 隐藏源站 IP
3. 封禁恶意外联（防挖矿木马向外发包）
防火墙封禁常见矿池端口，一旦中挖矿病毒，恶意程序无法连接矿池上传算力。
二、SSH 远程登录防爆破（入侵最高发入口）
修改 SSH 默认 22 端口为 1024 以上高位端口
禁止 root 账号远程 SSH 登录，新建普通运维账号登录
限制仅指定用户可以 SSH 登录，其他用户拒绝远程连接
配置登录参数：最多 3 次密码尝试、登录 1 分钟超时、空闲 5 分钟自动踢下线
部署 Fail2ban，短时间密码错误自动封禁攻击者 IP
PAM 配置输错密码锁定账号，兜底防止暴力破解
终极安全：关闭密码登录，只使用 SSH 密钥登录，从根源杜绝爆破
三、系统底层安全加固
1. 强密码 + 密码策略
密码≥16 位，大小写 + 数字 + 特殊符号组合，禁止弱口令
设置密码有效期，即使使用密钥登录，系统账号也要高强度密码
禁止复用历史密码，新密码需要和旧密码有足够差异
2. 定期更新系统，修复漏洞
CentOS/Ubuntu 定期执行系统升级，修补系统、组件高危漏洞，建议每周自动更新。
3. 加固临时目录（木马最爱存放目录）
给 /tmp、/var/tmp 挂载 noexec、nosuid 参数，禁止在临时目录执行脚本，挖矿木马无法运行。
4. 锁定关键系统文件
对 /etc/passwd、/etc/shadow、SSH 配置、sudo 权限文件添加不可修改锁定，防止黑客篡改添加后门账号。
5. 关闭无用开机服务，缩小攻击面
禁用 rpcbind、avahi 等没必要的系统自带服务，减少可被利用的漏洞点。
6. 禁用危险操作权限
普通用户禁止越权提权，合理配置 sudo 权限，不随意给普通用户最高权限。
四、应用层业务防护（网站、API、中转服务）
1. Web 反向代理加固（Nginx/Caddy）
隐藏 Web 服务版本号，防止攻击者根据版本针对性漏洞攻击
配置安全响应头：防 XSS、防网页嵌套劫持、强制 HTTPS 加密传输
开启 HTTPS 并强制 HTTP 跳转，杜绝明文传输抓包窃取数据
后端服务只监听 127.0.0.1，禁止直接外网访问后端端口，只能经过反向代理
2. 宝塔面板专项加固
修改面板默认 8888 端口，开启面板 IP 白名单，仅自己可访问
开启面板两步验证，设置复杂面板密码
安装 WAF 防火墙，拦截 SQL 注入、XSS、木马上传、恶意请求
网站上传目录禁止执行 PHP、Shell 脚本，防止上传 Webshell 木马入侵
3. 中间件、数据库加固
MySQL 禁止 root 外网访问，重命名默认账号，设置强密码
Redis 设置访问密码，禁止外网绑定，禁用危险命令
定期备份数据库，关闭不必要的数据库存储过程、函数
五、安全工具主动防御
Linux 服务器安全狗
SSH 暴力破解自动拦截
异常外联监控，发现挖矿程序向外发包直接拦截
文件实时防护，监控临时目录、网站目录新增可疑脚本
定期使用 rkhunter、ClamAV 查杀 Rootkit 内核后门、病毒木马
开启系统日志审计，留存登录、操作、访问日志，方便入侵后溯源
六、日常运维规范 + 备份兜底（被攻击最后救命手段）
1. 定期巡检
每日查看 SSH 登录失败日志，排查异常爆破 IP
定期检查系统新增用户、定时任务、开机自启服务
监控 CPU、带宽异常占用，尽早发现挖矿、CC 攻击
2. 多重备份策略
云服务器开启整机快照备份，每周一次
业务数据定时打包本地备份，同时异地备份（防止服务器被加密勒索）
备份和服务器分开存放，不要存在同一台机器
3. 运维操作规范
不随意打开陌生链接、不执行网上来源不明的 Shell 脚本
不在服务器浏览器浏览陌生网站，防止恶意程序植入
不把密钥、数据库密码、API 密钥明文存放在服务器公开目录
离职、更换办公网络后及时更新服务器 IP 白名单
七、推荐极简安全组合方案（个人 / 中小企业首选）
SSH 改高位端口 + 禁止 root 远程 + 仅密钥登录 + Fail2ban 防爆破
云安全组 + 系统防火墙最小权限放行，SSH 仅个人固定 IP 可访问
Caddy/Nginx 强制 HTTPS、限流、安全请求头加固
安装 Linux 安全狗，开启入侵、外联、文件防护
系统定期更新 + 临时目录禁止执行 + 关键文件锁定
整机快照 + 业务定时异地备份
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
