Linux 常用安全加固清单：新服务器必做的 10 件事

该文章由AI生成，仅为SEO优化测试，相关内容不保证准确！！！

引言

公网上的服务器平均几分钟就会被扫一次 SSH。新服务器开通后的第一小时，应该先做安全基线再装业务。以下清单按优先级排列。

1. 更新系统

yum update -y 或 apt update && apt upgrade -y，先把已知漏洞补掉。

2. SSH 密钥登录 + 禁用密码

上传公钥到 authorized_keys，然后 sshd_config 里设置 PasswordAuthentication no 并重启 sshd。这是防暴力破解最有效的一招。

3. 修改 SSH 端口

改成 1024 以上的高位端口，能把自动化扫描量降一个数量级（注意防火墙同步放行新端口）。

4. 防火墙最小开放

只放行业务必需端口，管理端口限源 IP 访问。云场景下优先用安全组，主机层再用 iptables/nftables 兜底。

5. fail2ban 防爆破

监控 SSH 登录失败日志，自动封禁来源 IP，配合改端口基本杜绝暴力破解。

6. 强口令与最小权限

业务用户不给 sudo；数据库口令不用默认值；应用连接数据库用专用低权限账号。

7. 关闭不用的服务

逐项过一遍开机自启服务，rpcbind、打印服务之类用不到就关。每一个监听端口都是攻击面。

8. 自动安全更新

开启自动安全补丁，至少覆盖内核与 OpenSSL 这类高危组件。

9. 日志与监控

登录告警、磁盘告警、服务存活监控缺一不可；日志远程备份一份，防止被攻击者清掉。

10. 定期备份

数据库每日备份 + 异地存放，网站数据定期快照。备份的可恢复性要实际演练验证，"有备份"不等于"能恢复"。

总结

安全加固的核心思路是"缩小攻击面 + 留下痕迹 + 能恢复"。十项都做完，你的服务器就已经好于绝大多数默认配置的主机了。