核心要点（TL;DR）
- 安全组是最便宜有效的第一道防线，先收敛22/3389再谈其他。
- 云防火墙补足安全组的东西向流量与IPS能力，按需开启。
- 主机安全Agent负责暴力破解拦截、木马查杀与基线检查，务必全量安装。
- 上线前用四步检查清单过一遍，比事后应急省十倍时间。
很多站长买完云服务器，第一件事是装环境、传代码，安全组默认放行全部端口，主机安全Agent嫌麻烦不装，等到被挖矿、被挂马、被刷短信接口才回头补课。其实主流云厂商早就把安全组、云防火墙、主机安全、基线检查打包在控制台里，多数免费或按量计费，用起来比第三方方案省心。本文按「能直接上手」的思路，横向对比这些自带能力，并给出配置命令与上线检查清单。
一、先搞清楚：云厂商自带的安全能力分四层
把控制台里的安全产品按作用位置归类，排查时就不会乱：
| 层级 | 典型能力 | 作用对象 | 是否常免费 |
|---|---|---|---|
| 网络边界 | 安全组、网络ACL | 实例网卡进出流量 | 免费 |
| 边界增强 | 云防火墙、DDoS基础防护 | VPC整体、公网IP | 基础版免费/增值收费 |
| 主机层 | 主机安全Agent、防暴力破解 | 操作系统内部 | 基础版免费 |
| 合规与审计 | 基线检查、日志审计、操作审计 | 配置与行为记录 | 部分免费 |
横向对比来看，各家命名不同但能力对齐：安全组都是五元组过滤，云防火墙都提供IPS与流量日志，主机安全都覆盖暴力破解拦截、木马查杀、漏洞与基线。差异主要在免费额度、告警联动和日志留存时长，选型时看这三点即可。
二、安全组：最便宜也最容易被写错的一道墙
安全组是无状态过滤，规则写错等于没设防。实操建议：
- 入方向只放行必要端口，SSH不要对 0.0.0.0/0 开放，改为固定办公IP：
22/tcp 源 1.2.3.4/32 允许。 - 出方向不要全放行，至少限制高危端口外联，防止被控后横向扫描。
- 用
telnet 公网IP 22或nc -zv 公网IP 22从本地验证规则是否生效。 - 保留一个「应急安全组」，只放行控制台VNC，防止误改把自己锁在外面。
常见坑：同一实例绑定多个安全组时规则取并集，拒绝规则未必生效；修改后立即用ss -antp核对监听端口，避免服务实际没起来却怪安全组。
三、云防火墙与主机安全Agent：补上东西向与主机内部
安全组管不了VPC内实例互访，也看不到应用层攻击，这时开云防火墙。开启后重点做两件事：一是把公网暴露面收敛到负载均衡，二是打开IPS与流量日志，按周看拦截记录。主机安全Agent则负责系统内部：
# 安装后检查Agent状态（以常见Linux为例）
systemctl status 主机安全服务
# 核对登录失败记录，判断是否在被爆破
lastb | head -20
# 检查异常计划任务与监听端口
crontab -l; ss -antp | grep LISTEN
# 查看是否存在陌生账号
awk -F: '>=1000{print }' /etc/passwdAgent基础版通常免费，务必全量安装并开启暴力破解拦截。注意与自建杀软二选一，避免重复扫描拖慢IO。
四、基线检查与日志审计：合规自查的捷径
基线检查能一次性扫出弱口令、未限制登录失败次数、审计未开启等问题。操作路径一般是控制台「主机安全—基线管理—一键检测」，按报告逐项修复。重点项：SSH禁止root直登、开启PermitRootLogin no、配置fail2ban或云平台防爆破、日志留存不少于180天。日志审计建议开启操作审计，记录谁改了安全组、谁重置了密码，出事时能追溯。
五、上线前四步检查清单
- 端口：安全组仅放行80/443与受限SSH，其余全拒。
- 主机：Agent已装、防爆破已开、系统补丁已打。
- 账号：删除默认账号，启用密钥登录，关闭密码登录。
- 可观测：云防火墙日志与主机告警接入通知渠道，设置带宽与CPU突增告警。
以上能力在AegisX控制台可统一查看安全组、主机告警与基线报告，减少多平台切换。行动建议：今天先花十分钟收敛安全组22端口，再装Agent开基线检测，比任何事后应急都划算。
常见问题（FAQ）
云服务器只开安全组够不够，还需要买云防火墙吗？
不够，但要看场景。安全组是无状态的五元组过滤，适合做南北向端口收敛；云防火墙提供有状态检测、入侵防御（IPS）、东西向流量可视与全量日志，适合多VPC互联、对外暴露业务和等保合规场景。单机小站先做好安全组加主机安全Agent即可，业务对外且有多台实例时建议开启云防火墙。
主机安全Agent会不会影响服务器性能？
主流厂商的主机安全Agent常驻内存一般在几十MB级别，CPU占用在空闲时接近零，对普通Web业务影响可忽略。建议在业务低峰安装，安装后用top或云监控观察一天；若与自建杀毒软件冲突，保留一方即可，避免重复扫描导致IO抖动。
安全组规则写错了把自己锁在外面怎么办？
先通过云控制台的VNC登录或救援模式进入系统，不要急着重装。排查顺序：确认实例绑定的安全组是否放行当前公网IP的22/3389端口、规则方向是否为入方向、优先级是否有拒绝规则覆盖。改完后用telnet或nc从本地测试端口连通性，再恢复SSH。建议提前保留一个应急安全组。
云厂商自带的基线检查能替代等保测评吗？
不能替代，但能大幅降低整改工作量。基线检查覆盖账号口令、登录失败处理、审计日志、端口开放等常见项，可作为等保二级/三级自查的起点。测评机构仍会核查制度文档、网络架构与日志留存周期，建议把基线报告作为整改证据留存。
怎么快速判断云服务器是否已被入侵？
看四个信号：异常外联IP、CPU或带宽突增、出现陌生账号与计划任务、登录日志有大量失败后成功。命令上可用last、lastb、crontab -l、ss -antp、ps aux逐项核对，同时查看云平台的主机安全告警与云防火墙拦截日志，两者交叉验证准确率更高。