如何加强Ubuntu 服务器防御？
美国、香港服务器
如何加强Ubuntu 服务器防御？
07-17 来源:
一、账号与登录安全（抵御 SSH 暴力破解）
1. 禁用 root 远程登录，创建普通管理账号
bash
运行
# 创建普通管理员用户
sudo adduser admin
# 赋予sudo权限
sudo usermod -aG sudo admin
编辑 SSH 配置：
bash
运行
sudo nano /etc/ssh/sshd_config
修改关键项：
plaintext
PermitRootLogin no # 禁止root远程登录
PasswordAuthentication no # 关闭密码登录（只使用密钥登录）
MaxAuthTries 3 # 最多3次密码尝试，防止爆破
重载 SSH：
bash
运行
sudo systemctl restart sshd
2. 使用 SSH 密钥登录，彻底关闭密码登录
本地生成密钥，把公钥上传到服务器/home/admin/.ssh/authorized_keys
关闭密码登录后，黑客无法通过密码暴力破解
3. 安装 Fail2ban 自动拉黑爆破 IP（必装）
bash
运行
sudo apt update && sudo apt install fail2ban -y
sudo systemctl enable --now fail2ban
默认监控 SSH，连续失败登录自动封禁 IP，可扩展监控网站、面板登录。
4. 修改 SSH 默认 22 端口（减少扫描命中）
sshd_config 修改Port 2222，同时防火墙放行新端口、封禁 22。
二、防火墙最小权限管控（核心边界防御）
Ubuntu 默认 ufw 防火墙，遵循默认拒绝入站，仅放行必要端口 + IP
1. 初始化防火墙策略
bash
运行
sudo ufw reset
sudo ufw default deny incoming
sudo ufw default allow outgoing
# 仅放行你自己的公网IP访问SSH（替换你的IP）
sudo ufw allow from 你的公网IP to any port 22
# 网站端口对外开放（80/443）
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
# 启用防火墙
sudo ufw enable
sudo ufw status numbered
2. 高危端口永久封禁
bash
运行
# 封禁SMB、RPC高危端口，防御勒索病毒
sudo ufw deny 135
sudo ufw deny 139
sudo ufw deny 445
sudo ufw deny 3389
3. 拉黑攻击 IP
bash
运行
sudo ufw deny from 1.2.3.4
三、系统内核与软件安全
1. 自动更新系统补丁，修复漏洞
bash
运行
# 手动更新
sudo apt full-upgrade -y
# 配置自动安全更新
sudo apt install unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades
开启后系统自动下载安装安全补丁，避免漏洞被入侵。
2. 卸载无用、风险组件
卸载ip_set、各类代理工具（Xray/sing-box），这类程序极易引来扫描与攻击；
关闭不用的系统服务：
bash
运行
# 查看自启服务，禁用无用项
systemctl list-unit-files --type=service | grep enabled
sudo systemctl disable --now 无用服务名
3. 限制内核模块，屏蔽危险驱动
bash
运行
# 禁止加载ip_set（如果你不用IP黑名单脚本）
echo "install ip_set /bin/false" | sudo tee /etc/modprobe.d/blacklist-ipset.conf
四、文件、权限与病毒防护
1. 关键文件加固权限
bash
运行
# SSH配置文件严格权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
# passwd/shadow防篡改
sudo chmod 600 /etc/shadow
sudo chmod 644 /etc/passwd
2. 安装杀毒软件 ClamAV，定期全盘查杀
bash
运行
sudo apt install clamav clamav-daemon -y
sudo freshclam
# 全盘扫描并自动删除病毒
sudo clamscan -r / --remove=yes
3. 监控敏感目录修改（入侵检测）
安装tripwire或aide监控系统核心文件，一旦文件被木马篡改立刻告警。
五、日志审计与入侵溯源
1. 开启完整登录日志
bash
运行
# 查看SSH失败爆破记录
grep "Failed password" /var/log/auth.log
# 查看所有登录记录
last
# 实时监控登录日志
tail -f /var/log/auth.log
2. 持久化日志，防止黑客清空日志销毁痕迹
修改rsyslog配置，同步日志到远程存储（可选）。
3. 监控定时任务（黑客常驻后门高发位置）
定期检查：
bash
运行
sudo crontab -l
ls /etc/cron.d/
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
