核心要点（TL;DR）

• 主机安全的核心价值是把合规基线与真实攻击面收敛到同一台机器上，一次加固同时满足测评与防护。
• 勒索病毒九成以上通过弱口令、暴露的远程端口与未修补漏洞进入，封端口与强口令的收益最高。
• 文件完整性监控与登录审计是发现横向移动和加密行为的关键，缺失时往往只能事后恢复备份。
• 主机安全要固化为周检清单与应急脚本，否则测评过后配置会逐步回退到默认状态。

很多运维的日常是这样的：等保测评前突击改配置、补文档，测评一过就恢复原样；直到某天收到监控告警，登录服务器发现数据库目录里多了一堆带奇怪后缀的文件和一张勒索信。主机安全的作用，恰恰体现在这两个场景之间——它既是合规测评的落地手段，也是勒索病毒从入口到加密之间那道真正能拦住人的防线。本文不谈概念，直接给出可执行的命令、检查清单和处置步骤。

一、主机安全到底管什么：合规基线与攻击面是同一件事

把等保要求拆开看，账号管理、访问控制、安全审计、入侵防范、恶意代码防范，每一条都对应一个真实的攻击入口。也就是说，主机安全的作用不是额外增加负担，而是把测评项翻译成攻击者真正会利用的配置项。

先做一次基线盘点，摸清现状再动手：

# 查看可登录账号与 UID 为 0 的账号
awk -F: '==0 {print }' /etc/passwd
awk -F: ' !~ /(nologin|false)$/ {print }' /etc/passwd

# 查看监听端口与对应进程
ss -tulnp

# 查看近期成功登录与失败次数
last -n 20
lastb | head -20

二、勒索病毒的入口，八成在主机配置上

勒索事件复盘里最常见的入口不是零日漏洞，而是弱口令的 SSH/RDP、暴露在公网的数据库端口、未及时修补的中间件漏洞，以及被拿下的跳板机。攻击链通常是：扫描暴露端口 → 爆破或漏洞利用 → 落地脚本提权 → 关闭防护与备份 → 批量加密。

因此防护重点应放在链条前段，让攻击者拿不到 shell、拿到了也提不了权、提权了也会被审计发现。可以用下面的命令快速自查高风险项：

• grep -E '^PermitRootLogin|^PasswordAuthentication' /etc/ssh/sshd_config，确认是否允许 root 与密码登录。
• ss -tulnp | grep -E ':(3306|6379|27017|9200)'，确认数据库是否直接监听 0.0.0.0。
• find / -perm -4000 -type f 2>/dev/null，排查异常 SUID 文件。
• crontab -l; ls -l /etc/cron.*，排查陌生定时任务，这是持久化的常见位置。

勒索团伙常先删除或停用备份与安全软件再加密。若发现备份任务消失、安全 agent 进程不见了，要按已被入侵处理，而不是当作误操作。

三、分步加固：四件事优先做，收益最高

1. 收敛远程登录入口

# 修改 /etc/ssh/sshd_config 后执行
PermitRootLogin no
PasswordAuthentication no
MaxAuthTries 3
# 校验并重载，务必保留一个已登录会话
sshd -t && systemctl reload sshd

2. 清理账号与提权路径

锁定长期不用的账号，sudo 只授予必要命令，禁止普通用户直接编辑关键配置。定期核对 /etc/sudoers 与 /etc/sudoers.d/ 下的条目。

3. 关闭非必要端口与服务

用防火墙默认拒绝入站，只放行管理 IP 与业务端口。云主机同时检查安全组，避免系统防火墙开了但安全组全通。

4. 开启审计与文件完整性监控

至少保证登录日志、sudo 操作、关键目录变更可追溯。可用 auditd 监控网站目录与配置目录的写入，并将日志外送到独立日志主机，防止本地被清。

# 监控关键目录写入（示例）
auditctl -w /var/www -p wa -k web_change
auditctl -w /etc/passwd -p wa -k passwd_change
auditctl -l

在防护建议上，这类“基线核查 + 登录审计 + 文件完整性告警”的能力可以借助 AegisX 的主机安全模块统一覆盖，把分散的脚本检查固化为持续策略，减少人工巡检遗漏。

四、发现疑似勒索时的处置顺序

1. 先隔离不断电：拔掉网线或封禁安全组，阻断横向加密；保留内存与进程现场。
2. 取证：保存 /var/log、登录记录、可疑进程与网络连接，记录勒索信文件名与哈希。
3. 定位入口：回看登录日志与 Web 访问日志，确认是弱口令、漏洞还是第三方组件。
4. 评估恢复：校验备份完整性与时间点，确认备份未被加密后再恢复，恢复后先加固再上线。
5. 复盘加固：修补入口、轮换全部凭据与密钥、收紧端口，并补充监控规则。

五、日常检查清单：把主机安全变成周任务

• 每周：核对新增账号、sudo 变更、监听端口变化。
• 每周：检查登录失败 Top IP 与异地成功登录。
• 每月：补丁与内核更新评估，重启窗口安排。
• 每月：备份恢复演练，验证可恢复而不只是有备份。
• 每季：基线复核与等保项自查，输出差异清单并闭环。

行动建议：今天就先做两件事——用上面的命令导出当前账号与端口清单做一次比对，再把 SSH 改为密钥登录并保留回退会话。主机安全的作用不会在一次测评中体现，而是在某次爆破、某次漏洞利用被无声挡下时体现。把清单固化成周期任务，比任何一次突击加固都更值钱。

常见问题（FAQ）

主机安全是不是装个杀毒软件就够了？

不够。杀毒软件主要覆盖已知恶意文件，而主机安全还包括账号权限收敛、SSH 与远程端口暴露面管理、基线配置核查、登录与命令审计、文件完整性监控等。勒索病毒常借助弱口令登录后手动投放，杀毒软件未必拦截，但异常登录与文件批量改写能被审计与完整性监控发现。

等保合规做完是不是就安全了？

不是。等保测评是某一时点的合规快照，验证的是配置是否达标，不代表持续防护有效。测评后若无人维护，弱口令、临时开放端口、过期账号会重新出现。正确做法是把测评项转化为可执行的周期检查脚本与告警规则，让合规状态持续可见。

怎么快速判断服务器是否已被勒索病毒感染？

看三个信号：一是大量文件扩展名被改或出现勒索说明文件，可用 find 按修改时间与扩展名筛查；二是 CPU 与磁盘 IO 异常升高、出现陌生加密进程；三是登录日志出现异常来源的成功登录。发现后立即断网隔离、保留内存与日志证据，再评估备份恢复，不要直接重启。

没有专业安全团队的中小站点怎么做主机安全？

优先做收益最高的四件事：关闭公网高危端口、禁用密码登录改密钥、清理多余账号与 sudo 权限、开启登录与关键目录变更审计。这四项用系统自带工具即可完成，成本低且能挡掉大部分自动化扫描与弱口令爆破，之后再逐步补齐补丁管理与备份演练。

主机加固会不会影响业务正常运行？

规范操作影响可控。建议先在测试机验证，再灰度到非核心节点；改 SSH 配置前保留一个已登录会话，改完用新会话验证成功后再退出旧会话；修改防火墙规则时使用定时回滚或先放行管理 IP。关键是每次变更都有回退路径，而不是一次性大改。