核心要点（TL;DR）
- 云服务器安全需防御从SSH暴力破解到勒索加密的完整攻击链。
- SSH暴露公网是最大风险，应限制源IP并启用密钥认证。
- 勒索加密常通过漏洞利用或弱口令进入，需及时打补丁。
- 定期备份是抵御勒索的最后防线，必须离线保存。
你的云服务器真的安全吗？
很多运维和站长认为云服务器自带安全防护，直到收到异常登录告警或发现文件被加密才追悔莫及。云服务器安全防的从来不是单一攻击，而是一条从SSH暴力破解到勒索加密的完整威胁链路。本文将拆解攻击者的每一步手法，并提供可立即执行的排查命令与加固步骤，帮你阻断攻击链。
威胁链路全景：攻击者如何一步步得手
攻击者通常遵循固定路径：扫描暴露的SSH端口→暴力破解弱口令→植入挖矿或后门→内网横向移动→窃取数据→部署勒索加密。每个环节都有机会被阻断，关键在于提前设防。
| 阶段 | 攻击手法 | 防御重点 |
|---|---|---|
| 初始访问 | SSH暴力破解、漏洞利用 | 限制源IP、强密码、及时打补丁 |
| 执行 | 下载恶意脚本、挖矿程序 | 文件完整性监控、进程白名单 |
| 横向移动 | 内网扫描、密码复用 | 网络隔离、最小权限 |
| 影响 | 勒索加密、数据窃取 | 离线备份、入侵检测 |
第一步：阻断SSH暴力破解
SSH是云服务器最常见的入口。攻击者利用自动化工具尝试常见用户名密码组合。以下加固措施必须执行：
- 禁用密码登录，启用密钥认证：编辑
/etc/ssh/sshd_config，设置PasswordAuthentication no，并配置PubkeyAuthentication yes。 - 限制访问源IP：使用防火墙仅允许公司IP访问22端口，例如
iptables -A INPUT -p tcp --dport 22 -s 1.2.3.4 -j ACCEPT，默认拒绝。 - 修改默认端口：将SSH端口改为非标准端口，减少扫描命中率。
- 安装Fail2ban：自动封禁多次失败尝试的IP，命令：
apt install fail2ban并配置/etc/fail2ban/jail.local。
检查是否已被入侵：grep 'Failed password' /var/log/auth.log | tail -20，若发现大量尝试，立即加固。
第二步：封堵漏洞与后门
攻击者常利用未修复的Web漏洞（如Struts2、Log4j）或弱口令应用入侵。务必：
- 定期更新系统及软件补丁：
yum update或apt upgrade。 - 使用漏洞扫描工具（如Nessus、OpenVAS）定期检查。
- 监控异常进程：
ps aux --sort=-%cpu查看高CPU占用进程，警惕挖矿程序。 - 检查定时任务：
crontab -l和ls /etc/cron.*，清除恶意任务。
建议部署AegisX的入侵检测功能，实时告警异常登录和文件变更。
第三步：阻断横向移动与勒索加密
攻击者进入内网后，会尝试横向移动至其他服务器。需实施网络隔离，使用安全组限制内网访问。同时，对重要数据实施3-2-1备份策略（3份副本、2种介质、1份离线）。
勒索加密的典型迹象：文件后缀被修改、出现勒索信。一旦发现，立即断网并保留现场。防御措施包括：
- 使用AegisX的文件防篡改功能，保护关键目录。
- 限制服务器外联，阻止恶意域名解析。
- 定期演练备份恢复流程，确保备份可用。
安全加固检查清单
- SSH已禁用密码登录，仅允许密钥认证
- 防火墙仅开放必要端口，SSH访问源IP受限
- 系统补丁已更新至最新
- 已部署Fail2ban或类似防护
- 重要数据已离线备份
- 已安装入侵检测工具（如AegisX）
立即行动，构建纵深防御
云服务器安全不是一次性的任务，而是持续的过程。请根据上述检查清单逐项加固，并定期审计日志。对于关键业务，建议接入AegisX的安全防护能力，实现实时威胁检测与自动响应。记住：攻击者总是寻找最薄弱的一环，你的防御必须覆盖整个链路。
常见问题（FAQ）
如何快速检查云服务器是否已被SSH暴力破解成功？
检查/var/log/secure或auth.log中的失败登录记录，使用命令`grep 'Failed password' /var/log/secure | tail -20`查看近期尝试。同时检查成功登录日志`grep 'Accepted' /var/log/secure`，确认是否有陌生IP。还可使用`last`命令查看最近登录用户，若发现异常IP或未知用户，立即修改密码并禁用该账户。
云服务器已经中了勒索病毒，第一步应该做什么？
立即断开网络连接，防止病毒进一步扩散或加密其他文件。不要重启服务器，避免加密进程继续运行。保留现场，联系专业安全团队或云服务商协助取证。检查备份是否可用，切勿支付赎金。后续需从备份恢复系统，并彻底排查入侵途径，加固安全措施。
除了SSH加固，还有哪些必须做的安全基线配置？
必须配置防火墙仅开放必要端口，禁用root远程登录，启用密钥认证并禁用密码登录。定期更新系统补丁，安装入侵检测工具如AegisX。设置强密码策略，监控异常进程和网络连接。对重要数据实施3-2-1备份策略，并定期演练恢复流程。
如何有效防御勒索加密攻击？
防御勒索需多层防护：及时打补丁修复漏洞，使用强密码和密钥认证，限制不必要的网络访问。部署入侵检测系统监控异常文件加密行为。最重要的是定期备份，并将备份存储在离线或不可变存储中。同时，对员工进行安全意识培训，避免点击钓鱼邮件。