核心要点（TL;DR）
新买的云主机开机即公网可达，默认配置往往偏宽松：root 可密码登录、22 端口对全网开放、系统补丁滞后。对新手来说，真正的痛点不是「不知道要装安全软件」，而是装完之后不知道怎么验证、加固时又怕把自己锁在门外。本文按「先装 Agent、再基线加固、最后复查」的顺序，给出可直接复制的命令与检查清单，帮你在一小时内把云主机安全软件落地。
一、安装前必须确认的三件事
直接跑安装脚本是新手最常见的错误。先花五分钟确认环境，能避免八成的安装失败。
- 系统与架构：执行
cat /etc/os-release与uname -m，确认发行版版本和 x86_64/aarch64 架构，选对安装包。 - 出方向网络：Agent 需要向服务端上报心跳，测试
curl -I https://your-agent-endpoint，若超时先排查安全组出方向与 DNS。 - 时间同步：执行
timedatectl，时间偏差过大会导致证书校验失败，先开启 NTP。
动手前给云主机打一个快照，并备份 /etc/ssh/sshd_config 等关键配置。这一步不花两分钟，却能在误操作时救命。
二、Agent 安装与状态验证
以 Linux 主机为例，典型安装流程如下（具体命令以厂商文档为准）：
- 下载安装包并校验：
sha256sum agent.tar.gz，与官方摘要比对。 - 解压并执行安装：
tar -zxf agent.tar.gz && cd agent && sudo ./install.sh。 - 注册主机：
sudo ./agent register --key YOUR_KEY，密钥在控制台生成。 - 启动服务：
sudo systemctl enable --now agent。
安装完成不等于成功，必须验证三项：
| 验证项 | 命令 | 预期结果 |
|---|---|---|
| 进程存活 | ps -ef | grep agent | 存在主进程且非僵尸 |
| 服务自启 | systemctl is-enabled agent | 输出 enabled |
| 心跳上报 | 控制台主机列表 | 状态在线、更新时间正常 |
若心跳异常，查看 journalctl -u agent -n 100，重点排查网络不通、密钥错误、时间偏差三类原因。
三、基线加固：优先处理四类高风险项
基线项很多，新手按风险排序做，收益最高。
1. SSH 加固
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak # 修改：PermitRootLogin no、PasswordAuthentication no、MaxAuthTries 3 sudo sshd -t && sudo systemctl reload sshd
改完保留一个已登录会话，另开窗口验证密钥登录成功再关闭旧会话。
2. 账号与权限
- 创建普通运维账号并加入 sudo 组，禁用不必要的系统账号。
- 检查空密码账号：
awk -F: '(==""){print }' /etc/shadow。 - 收紧关键文件权限：
chmod 600 /etc/shadow。
3. 防火墙与端口收敛
云厂商安全组只放通业务必需端口，主机侧再叠加 firewalld 或 ufw，形成双层过滤。用 ss -tlnp 核对实际监听端口，关闭调试服务。
4. 补丁与内核参数
定期执行 apt update && apt upgrade 或 yum update，并开启自动安全更新。内核参数可参考 CIS 基线调整，但改动前先在测试机验证。
四、复查清单与持续巡检
加固完成后逐项打勾，避免「改了但没生效」：
- SSH 密码登录已关闭，root 禁止直连。
- 安全组仅开放业务端口，主机防火墙已启用。
- Agent 在线、基线检查无高危项。
- 系统补丁已更新，自动更新策略已配置。
- 关键配置已备份，快照可回滚。
后续把基线检查纳入日常巡检，每月跑一次并对比差异。若希望减少手工核对，可借助 AegisX 的主机安全能力：Agent 一键部署、心跳与进程状态可视化，内置基线检查与异常登录告警，能把上面这套流程固化为持续监控，而不是一次性动作。
五、行动建议
今天就做三件事：给现网云主机打快照、按本文顺序安装并验证 Agent、完成 SSH 与防火墙两项最高风险加固。其余基线项排进本周计划，每改一项验证一项。安全不是一次配置，而是「装好、加固、复查」的循环，先把闭环跑起来，再逐步细化。
常见问题（FAQ）
云主机安全软件Agent安装失败提示连接超时怎么办？
先确认云主机出方向网络是否放通Agent服务端域名或IP的443端口，用curl或telnet测试连通性；再检查DNS解析是否正常、系统时间是否偏差过大导致证书校验失败。若主机位于内网或受限VPC，需配置代理或放通安全组出方向规则，最后重启Agent服务并查看日志确认心跳上报成功。
装完安全Agent还需要手动做基线加固吗？
需要。Agent负责持续监控与检测，基线加固是收敛攻击面，两者互补。Agent能发现异常登录和恶意进程，但无法替你关闭多余端口、禁用密码登录或收紧文件权限。建议先按基线清单完成SSH、账号、防火墙、补丁四类加固，再让Agent持续巡检，形成检测加预防的闭环。
基线加固后SSH连不上云主机怎么恢复？
立即通过云厂商控制台的VNC或救援模式登录，检查sshd_config是否语法错误，可用sshd -t校验配置；确认防火墙是否误拦22端口、SELinux是否阻止新端口。恢复后保留一个已登录会话再改配置，并提前放通备用端口，避免全部连接中断。
云主机基线加固需要多久做一次？
建议新机上线前做一次完整基线，之后每月做一次增量复查，重大漏洞披露或业务变更后立即复检。可用脚本或Agent的基线检查功能定期跑分，对比差异项。频率不必过高，关键是每次变更后回归验证，确保配置没有被人为放开。
新手加固云主机最容易踩哪些坑？
常见坑包括：未做快照就改SSH配置导致锁死、只改配置不重启服务以为已生效、忘记放通安全组就开防火墙、禁用root后没建好普通账号、以及加固后未验证Agent心跳。建议每改一项就验证一项，操作前备份配置文件，保留至少一条可用登录通道。