如何设置安全狗的防护策略？
美国、香港服务器
如何设置安全狗的防护策略？
10-31 来源:
## 一、入口
打开服务器安全狗 → 【网络防火墙】+【系统防火墙】两大块，所有防护策略在这里配置安全狗
1. 网络防火墙：DDoS、ARP、Web/CC、端口策略、黑白名单
2. 系统防火墙：RDP 远程登录、账号保护、文件 / 注册表保护、进程控制
## 二、网络防火墙策略（网站服务器核心）
### 1. DDoS 防火墙（SYN、UDP、ICMP 洪水）
- 开启：SYN 攻击、UDP 攻击、ICMP 攻击防护
- 参数参考（普通建站不要拉太高，避免误杀）
- SYN：每秒 TCP 新建连接限制：200
- UDP 包限制：每秒 500 包
- IP 封禁时长：10 分钟
### 2. Web 防火墙（CC、SQL 注入、XSS、Web 攻击，搭配 Nginx/IIS）
- 访问频率规则（CC 核心）
- 推荐：**10 秒单 IP 最多 60~100 次请求，超限封禁 5 分钟**（外贸站建议宽松一点：10 秒 120 次）
- 会话验证：开启 Cookie 验证（CC 防护效果更好，爬虫 / 代理容易触发）
- 攻击特征库：开启 SQL 注入、XSS、文件上传、一句话木马、路径遍历拦截
【重要：CDN 场景】
回源只放行 CF 的 IP 段；**不要直接放行全网 80/443**，同时 Web 白名单加入 CF 网段，否则全部拦截
### 3. ARP 防火墙（内网服务器才开，单机公网云机一般关闭）
云服务器机房一般做了 ARP 防护，公网主机不用开启，容易断网
### 4. 端口安全策略（推荐最小开放原则）
【端口保护】→【端口安全策略】
- 策略模式推荐：**默认拒绝，只放行必要端口**（比默认放行安全得多）
- 放行示例：
- 80、443（网站）
- 你的 RDP 端口（不要用 3389 默认）
- 数据库端口**禁止对公网开放**，仅内网 / 跳板机 IP 白名单访问
- 支持设置：TCP/UDP、源 IP 例外、生效时间段
### 5. 超级黑白名单（优先级最高，高于所有防护规则）
- 超级白名单：IP 不受任何拦截（放 CF 回源 IP、你自己办公 IP、运维跳板）
- 超级黑名单：直接永久阻断该 IP 所有访问，无视端口
顺序：超级白 > 超级黑 > 端口策略 > CC/DDoS/Web 防护
## 三、系统防火墙策略（主机加固、防提权、防爆破）
1. **远程登录保护（RDP 3389）**
- 开启：异地登录提醒、密码错误次数封禁（5 次错误，封 15 分钟）
- 白名单访问控制：只允许运维 IP 登录 RDP，最稳妥
2. **账号保护**
- 开启管理员账号保护：禁止新建管理员账号、禁止修改管理员密码，防黑客提权加账号
3. 文件保护（防网页木马、篡改）
- 保护目录：网站 wwwroot、data、config 配置目录
- 动作：拦截写入、删除、重命名；例外程序加入白名单（Nginx、php-cgi）
4. 注册表保护、进程行为控制：防远控、恶意程序注入
## 四、日志 & 告警策略（你前面问到的日志）
- 防护日志：设置日志保留天数（建议 15~30 天，磁盘小就缩短）
- 告警：开启邮件告警，CC 攻击、RDP 爆破、账号变更推送通知
- 日志存储：前面讲过，Analysis 目录，可用软链接迁移到数据盘
## 五、网站安全狗（Linux Nginx/Apache，宝塔 Linux 常用）
1. 主动防御：SQL 注入、XSS、网马、危险组件、后门防护全部开启
2. CC 防护：频率规则 + 验证码会话验证
3. 防盗链、后台保护、URL 白名单（后台管理地址加入白名单，防止误拦自己）
4. 规则自动更新：定期更新攻击特征库
## 六、外贸站 + Cloudflare 配套最佳策略
1. 超级白名单：导入全部 Cloudflare 回源 IP 段
2. Web 防火墙、CC 防护开启，频率适度放宽（海外访客分布广）
3. 端口策略：80/443**只允许 CF 网段访问，禁止公网直连源站 IP**（隐藏源 IP）
4. RDP：只放行自己的 IP，关闭全网访问
5. 关闭不必要端口，445、135、139 等高危端口全部拒绝
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
