核心要点（TL;DR）
- 云服务器安全防护的核心作用是提高攻击成本、缩短暴露时间、保证出事可恢复。
- SSH改端口+禁密码登录+密钥认证，可挡住绝大多数自动化暴力破解。
- 安全组只放行必要端口，数据库与Redis绝不能暴露公网。
- 入侵排查先看CPU、进程与定时任务，再决定清理还是重装。
很多新手站长把网站部署上云后就默认「安全有云厂商兜底」，结果上线没几天就遇到SSH被疯狂尝试登录、CPU莫名跑满、首页被插入博彩链接。云服务器安全防护的真正作用，不是让你刀枪不入，而是提高攻击成本、缩短暴露时间、保证出事能快速恢复。下面用5个真实场景，把该做的配置和命令讲清楚。
场景一：SSH 22端口被暴力破解
这是最常见的场景。公网上的扫描器全天候尝试 root 弱密码，日志里会出现大量 Failed password。
先确认是否被扫：
grep "Failed password" /var/log/auth.log | tail -20
# CentOS 系用 /var/log/secure
lastb | head加固三步走：
- 改端口并禁用密码登录。编辑
/etc/ssh/sshd_config：Port 22022、PasswordAuthentication no、PermitRootLogin prohibit-password。 - 本地生成密钥并上传：
ssh-keygen -t ed25519，再用ssh-copy-id -p 22022 user@IP。 - 先确认新端口能登录，再重启服务：
systemctl restart sshd，并在安全组放行新端口。
改端口不是靠隐蔽取胜，而是把海量无差别扫描直接过滤掉，成本极低、收益极高。
场景二：安全组误开放数据库端口
MySQL 3306、Redis 6379 暴露公网是被入侵的高发原因。Redis 未授权访问可直接写定时任务反弹 shell。
检查方法：在服务器上执行 ss -lntp，看监听地址是 0.0.0.0 还是 127.0.0.1。数据库应只监听内网或本机。
| 服务 | 应放行来源 | 常见错误 |
|---|---|---|
| SSH | 固定办公IP或跳板机 | 0.0.0.0/0 全放行 |
| MySQL/Redis | 仅内网网段 | 直接对公网开放 |
| Web 80/443 | 0.0.0.0/0 | 无，属正常业务 |
安全组遵循最小放行原则：只开业务必需端口，来源能写具体IP就不写网段。修改前先加放行规则，再删旧规则，避免把自己关在门外。
场景三：CPU跑满，被植入挖矿程序
典型症状是 top 里有个陌生进程占满CPU，名字伪装成 kdevtmpfsi、xmrig 之类。排查顺序：
top -c
ps aux --sort=-%cpu | head
crontab -l
ls -l /etc/cron.d/ /var/spool/cron/
netstat -antp | grep ESTABLISHED重点看定时任务和外联IP，挖矿程序通常靠 cron 保活。发现后先打快照保留现场，再决定清理还是重装。被入侵过的机器建议直接重装，因为后门可能不止一处。重装后务必补上入口：弱密码、未打补丁的应用、暴露的数据库端口。
场景四：网站被挂马，首页跳转博彩站
常见于 WordPress、ThinkPHP 等有已知漏洞的程序。排查步骤：
- 对比近期被修改的文件：
find /var/www -mtime -3 -type f - 搜索可疑代码：
grep -rn "eval(base64" /var/www - 检查 Web 日志中的异常 POST：
grep "POST" /var/log/nginx/access.log | awk '{print }' | sort | uniq -c | sort -rn | head
处理时先下线页面、打快照，再升级程序与插件、修改后台密码、清理恶意文件。日常防护建议开启文件完整性监控，并在防护建议层面考虑 AegisX 的 Web 入侵检测与文件防篡改能力，能在挂马落地时及时告警。
场景五：误删数据或勒索，靠备份救命
安全防护不只防黑客，也防手滑和勒索加密。没有备份，前面所有配置都只是心理安慰。
最低要求清单：
- 系统盘每周自动快照，重大变更前手动打快照；
- 业务数据每日备份，并同步到对象存储或异地，避免账号被盗后一起丢失；
- 每季度做一次恢复演练，确认备份真的能还原。
只做同区域快照，遇到误删实例或账号失陷仍可能全丢，异地副本是最后一道防线。
行动建议：今天就能做完的加固清单
- SSH 改端口、禁密码、只留密钥登录；
- 安全组按最小放行原则复查一遍，数据库端口收回内网；
- 执行
ss -lntp和crontab -l，确认没有陌生监听与任务； - 开启自动快照，配置每日异地备份；
- 给系统与 Web 程序打补丁，开启基础入侵告警。
云服务器安全防护的价值，就体现在这5个场景里：它让你不被批量扫描击穿，被入侵时能快速发现，出事时能一键恢复。先把上面清单跑一遍，再谈更高级的防护体系。
常见问题（FAQ）
云服务器自带的安全防护够用吗？还需要自己配置吗？
不够用，必须自己配置。云厂商提供的是基础设施层防护，比如安全组、DDoS基础清洗、快照，但操作系统补丁、SSH配置、Web应用漏洞、账号权限都属于你的责任。默认安全组往往放行较多端口，系统镜像也可能保留密码登录。正确做法是：安全组最小放行、SSH改密钥登录、及时打补丁、开启快照与异地备份。
我的小网站没人关注，会被攻击吗？
会，而且绝大多数攻击是自动化的，不针对具体目标。扫描器全网批量探测22端口、6379端口和常见Web漏洞，只要你的服务器暴露在公网就可能被命中。新手站最常见的后果是被植入挖矿程序或网页挂马，导致CPU跑满、网站变慢、被搜索引擎标记。防护的意义不是防住定向攻击，而是不成为批量扫描的牺牲品。
服务器被入侵后，清理木马还是直接重装？
优先重装。入侵者通常已留下后门账号、定时任务或替换系统命令，手工清理很难保证干净。正确流程是：先通过快照或备份保留现场用于分析，再重装系统、恢复业务数据、修补入口漏洞（弱密码、未打补丁的应用、暴露的数据库），最后重新配置安全组和SSH。只有在确认入口单一且后门已彻底清除时，才考虑原地清理。
安全组和系统防火墙要配两套吗？
建议两套都配，职责不同。安全组在云平台侧生效，流量还没到服务器就被拦截，适合放行80、443等必要端口；系统防火墙（firewalld或ufw）在主机内生效，可限制来源IP和具体服务。两层叠加能避免安全组误改后服务直接裸奔。配置时保持规则一致，先加放行规则再删旧规则，防止把自己关在门外。
快照和备份有什么区别，多久做一次？
快照是云盘某一时刻的块级状态，恢复快但通常同区域存储；备份应包含异地或对象存储副本，防的是账号误删和区域故障。建议：系统盘每周自动快照，业务数据每日备份并异地存放，重大变更前手动打快照。只做快照不做异地备份，遇到误删实例或账号被盗时仍可能全部丢失。