企业将业务迁到云端后，服务器安全往往成为短板。即便云平台默认提供了安全组和防暴力破解能力，若没有进行合理的系统加固，服务器仍可能因端口暴露、弱口令、补丁滞后而失守。格达软件在长期承接APP、小程序、PC软件的部署与服务器维护工作中，总结了一套适用的安全基线配置清单。以下以主流Linux云服务器为例，列出关键控制项，供开发者和运维团队参考。
一、账号与访问控制：守住入口
账号管理是安全基线的第一层。在服务器交付时请务必修改默认密码、清理无用账号，并遵循最小权限原则：
- 创建普通运维账号，加入sudo组，禁止使用root远程登录。
- 启用SSH密钥认证，同时关闭密码认证，避免暴力破解。
- 配置fail2ban或云平台安全策略，对连续失败登录的IP进行锁定。
- 定期审计/etc/passwd和sudoers文件，移除离职员工及临时账号。
建议在/etc/ssh/sshd_config中确认以下配置：
# /etc/ssh/sshd_config
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3
LoginGraceTime 20
修改后执行systemctl restart sshd，并保持当前会话在线以防误退出。格达软件在服务器维护巡检中，会同步校验这些参数，如果发现SSH配置裸奔，会第一时间协助收紧。
二、系统与网络安全加固
系统层面需要保持更新。建议启用自动安全更新，或者每周在业务低峰期执行yum update或apt upgrade。此外，应卸载不必要组件，关闭无用服务，如FTP、Telnet、邮件服务等。
网络层面采用“默认拒绝、按需放行”策略。云平台安全组和服务器内部防火墙（iptables/firewalld）应双重配置：
- 只允许业务端口（如80、443）对公网开放。
- SSH管理端口建议限定来源IP，或通过堡垒机登录。
- 数据库端口（3306、5432等）仅允许内网访问，绝不暴露公网。
- 若使用微服务或容器，注意限制内部网络访问规则。
下面是一段最小化防火墙规则示例：
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -s 192.168.10.0/24 -j ACCEPT
iptables -A INPUT -j DROP
对于APP或小程序后端，API服务常使用HTTPS，建议在Nginx或负载均衡层配置TLS版本和强密码套件，并开启HTTP/2。开发咨询中我们常遇到企业忽视Web应用防火墙，如果条件允许，可启用云WAF防护SQL注入和XSS攻击。
三、数据保护与备份恢复
数据安全是基线的底线。日常应做好以下备份和容灾措施：
- 对数据库每天全量备份，并上传到异地的对象存储；同时保留最近7天增量备份。
- 配置文件、代码发布包也要定期归档，便于快速回滚。
- 每次变更前手动创建快照，重大版本升级前建议做整机镜像。
- 定期演练恢复流程，确保备份文件可完整还原。
如果使用云数据库，请开启自动备份和多可用区部署。对重要业务数据，加密存储并严格控制访问权限。格达软件在帮助客户做服务器迁移或容灾方案时，会把备份策略写进交付文档，避免“数据裸奔”。
四、监控、审计与持续运营
安全基线不能只停留在配置那一刻。推荐启用以下监控与审计能力：
- 开启系统日志（/var/log/messages、secure）并接入集中日志平台，留存至少180天。
- 配置CPU、内存、磁盘、带宽告警，并设置进程和文件完整性检测。
- 定期扫描系统漏洞，关注官方安全公告，及时修复高危CVE。
- 每季度进行一次安全基线复核，检查账号权限、端口状态和补丁级别。
服务器维护是一项长期工作。格达软件提供从开发咨询、部署上云到后续运维的完整服务，可帮助企业建立“配置检查—漏洞修复—应急响应—持续优化”的闭环。如果您希望获得一份针对性云服务器安全评估，也可以直接联系我们技术团队。
总之，云服务器的安全性更多取决于规范性和持续性。通过以上清单逐条落实，大部分常见攻击路径都能被有效封堵。希望这份基线配置清单能成为您运维工作中的实用参考。