海外服务器安全加固清单：24项安全检查（SSH/防火墙/审计/备份）完全指南

Meta Description: 海外服务器安全加固完整指南：24项安全检查清单涵盖SSH加固、防火墙配置、系统审计、数据备份四大领域，附一键执行命令和验证方法，适用于AWS、阿里云、Google Cloud等主流云平台。

引言：安全不是可选项

出海企业在海外部署云服务器时，安全往往被推迟到"以后再说"。但现实是：一台暴露在公网上的服务器，平均每15分钟就会被扫描一次。根据Shodan的统计数据，超过30%的云服务器存在至少一个高危配置漏洞。安全加固不是一次性工作，而是一套需要持续执行的检查清单。根据IBM 2024年数据泄露报告，被攻破的企业中，68%的安全事件源于基础配置疏漏而非高级漏洞利用。本文提供24项安全检查，覆盖SSH加固、防火墙配置、系统审计、数据备份四大领域，每项都附带一键执行命令和验证方法。无论你是运维新手还是资深架构师，这份清单都能帮你系统性地提升服务器安全水位。

安全加固全景图

┌─────────────────────────────────────────────────────────────┐
│                 海外服务器安全加固架构                          │
├─────────────┬──────────────┬──────────────┬─────────────────┤
│  SSH加固     │  防火墙配置   │  系统审计     │  数据备份        │
├─────────────┼──────────────┼──────────────┼─────────────────┤
│ 1.禁用root   │ 7.默认拒绝   │ 13.审计日志   │ 19.自动备份     │
│ 2.密钥登录   │ 8.最小开放   │ 14.文件完整性 │ 20.异地容灾     │
│ 3.修改端口   │ 9.速率限制   │ 15.登录监控   │ 21.加密存储     │
│ 4.限制用户   │ 10.应用层WAF │ 16.进程监控   │ 22.备份验证     │
│ 5.超时断开   │ 11.IP黑名单  │ 17.内核加固   │ 23.快照策略     │
│ 6.日志记录   │ 12.DDoS防护  │ 18.漏洞扫描   │ 24.恢复演练     │
└─────────────┴──────────────┴──────────────┴─────────────────┘
         │              │              │              │
         ▼              ▼              ▼              ▼
    ┌─────────────────────────────────────────────────────┐
    │              持续监控 + 自动告警                       │
    │    Prometheus + Grafana / CloudWatch / 定时Cron       │
    └─────────────────────────────────────────────────────┘

第一部分：SSH安全加固（第1-6项）

SSH是攻击者最常尝试的入口。以下6项检查能将暴力破解成功率降低99%以上。

第1项：禁用root直接登录

// 编辑SSH配置
sudo sed -i 's/^#PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config
// 或者更严格：禁止密码登录的root
sudo sed -i 's/^PermitRootLogin yes/PermitRootLogin prohibit-password/' /etc/ssh/sshd_config
sudo systemctl restart sshd

验证：

ssh root@your-server  # 应该被拒绝

第2项：强制密钥登录，禁用密码认证

// 生成密钥（本地执行）
ssh-keygen -t ed25519 -C "[email protected]"

// 上传公钥到服务器
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server

// 禁用密码登录
sudo sed -i 's/^PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config
sudo sed -i 's/^#PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config
sudo systemctl restart sshd

注意： 确保密钥已上传且能正常登录后再禁用密码登录，否则会锁死自己！

第3项：修改默认SSH端口

// 改为非标准端口（如2222）
sudo sed -i 's/^#Port 22/Port 2222/' /etc/ssh/sshd_config
sudo firewall-cmd --permanent --add-port=2222/tcp
sudo firewall-cmd --reload
sudo systemctl restart sshd

第4项：限制可登录用户

// 只允许deploy和admin用户通过SSH
echo "AllowUsers deploy admin" | sudo tee -a /etc/ssh/sshd_config
sudo systemctl restart sshd

第5项：设置SSH超时断开

// 5分钟无操作自动断开
cat >> /etc/ssh/sshd_config << 'EOF'
ClientAliveInterval 300
ClientAliveCountMax 0
LoginGraceTime 30
MaxAuthTries 3
EOF
sudo systemctl restart sshd

第6项：启用SSH登录日志

// 确保auth日志级别足够详细
sudo sed -i 's/^LogLevel INFO/LogLevel VERBOSE/' /etc/ssh/sshd_config
sudo systemctl restart sshd

// 查看登录日志
sudo grep "Failed password" /var/log/auth.log | tail -20
sudo grep "Accepted publickey" /var/log/auth.log | tail -20

第二部分：防火墙与网络安全（第7-12项）

第7项：默认拒绝所有入站流量

CentOS 7 (firewalld)：

sudo systemctl start firewalld
sudo systemctl enable firewalld
// 默认拒绝所有入站
sudo firewall-cmd --set-default-zone=drop
// 只开放必要端口
sudo firewall-cmd --permanent --add-port=2222/tcp  # SSH
sudo firewall-cmd --permanent --add-port=443/tcp   # HTTPS
sudo firewall-cmd --permanent --add-port=80/tcp    # HTTP
sudo firewall-cmd --reload

Ubuntu 22.04 (ufw)：

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 2222/tcp  # SSH
sudo ufw allow 443/tcp   # HTTPS
sudo ufw allow 80/tcp    # HTTP
sudo ufw enable
sudo ufw status verbose

第8项：最小化开放端口

// 检查所有监听端口
sudo ss -tlnp | grep LISTEN

// 或者更详细
sudo netstat -tlnp | grep LISTEN

// 常见不需要的端口：3306(MySQL对外), 6379(Redis对外), 11211(Memcached对外)
// 这些应该只监听127.0.0.1

第9项：SSH暴力破解防护（fail2ban）

// 安装fail2ban
sudo yum install -y epel-release && sudo yum install -y fail2ban  # CentOS
sudo apt install -y fail2ban  # Ubuntu

// 配置
cat > /etc/fail2ban/jail.local << 'EOF'
[DEFAULT]
bantime = 3600
findtime = 600
maxretry = 5
banaction = firewallcmd-rich-rules

[sshd]
enabled = true
port = 2222
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
EOF

sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

第10项：部署Cloudflare或应用层WAF

// Cloudflare代理模式下，真实IP被隐藏
// 配置Nginx只允许Cloudflare IP段
// Cloudflare IP段：https://www.cloudflare.com/ips/

cat > /etc/nginx/conf.d/cloudflare.conf << 'EOF'
// 允许Cloudflare IPv4
allow 173.245.48.0/20;
allow 103.21.244.0/22;
allow 103.22.200.0/22;
allow 103.31.4.0/22;
allow 141.101.64.0/18;
allow 108.162.192.0/18;
allow 190.93.240.0/20;
allow 188.114.96.0/20;
allow 197.234.240.0/22;
allow 198.41.128.0/17;
allow 162.158.0.0/15;
allow 104.16.0.0/13;
allow 104.24.0.0/14;
allow 172.64.0.0/13;
allow 131.0.72.0/22;

// 拒绝其他所有来源
deny all;
EOF

// 在server块中引用
// include /etc/nginx/conf.d/cloudflare.conf;

第11项：配置IP黑名单

// 从fail2ban日志提取封禁IP
sudo fail2ban-client status sshd | grep "Banned IP"

// 手动添加永久黑名单
cat >> /etc/firewalld/ipset/blacklist.ipset << 'EOF'
1.2.3.4
5.6.7.8
EOF

// 创建firewalld ipset规则
sudo firewall-cmd --permanent --new-ipset=blacklist --type=hash:ip
sudo firewall-cmd --permanent --add-rich-rule='rule source ipset=blacklist drop'
sudo firewall-cmd --reload

第12项：配置SYN Flood防护

// 内核参数加固
cat >> /etc/sysctl.d/99-security.conf << 'EOF'
// SYN Flood防护
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_synack_retries = 2

// 禁用ICMP重定向
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0

// 禁用IP源路由
net.ipv4.conf.all.accept_source_route = 0

// 启用反向路径过滤
net.ipv4.conf.all.rp_filter = 1

// 禁用ICMP广播
net.ipv4.icmp_echo_ignore_broadcasts = 1
EOF

sudo sysctl -p /etc/sysctl.d/99-security.conf

第三部分：系统审计与监控（第13-18项）

第13项：启用auditd审计日志

sudo yum install -y audit  # CentOS
sudo systemctl enable --now auditd

// 添加关键文件监控规则
cat >> /etc/audit/rules.d/custom.rules << 'EOF'
-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /etc/sudoers -p wa -k sudoers
-w /etc/ssh/sshd_config -p wa -k sshd_config
-w /var/log/auth.log -p wa -k auth_log
-w /etc/crontab -p wa -k cron
EOF

sudo augenrules --load
sudo auditctl -l

第14项：文件完整性监控（AIDE）

sudo yum install -y aide  # CentOS
sudo aide --init
sudo mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

// 每日检查脚本
cat > /usr/local/bin/aide-check.sh << 'EOF'
#!/bin/bash
aide --check | mail -s "AIDE Report $(hostname)" [email protected]
EOF

chmod +x /usr/local/bin/aide-check.sh
echo "0 2 * * * root /usr/local/bin/aide-check.sh" >> /etc/crontab

第15项：异常登录监控告警

// 监控SSH暴力破解并发送告警
cat > /usr/local/bin/login-monitor.sh << 'SCRIPT'
#!/bin/bash
FAILED=$(grep "Failed password" /var/log/auth.log | \
    awk '{print $11}' | sort | uniq -c | sort -rn | head -5)
if [ -n "$FAILED" ]; then
    echo "SSH暴力破解尝试：$FAILED" | \
    mail -s "Security Alert: $(hostname)" [email protected]
fi

// 检查非工作时间登录
HOUR=$(date +%H)
if [ $HOUR -lt 6 ] || [ $HOUR -gt 22 ]; then
    LAST=$(last -1 | head -1)
    echo "非工作时间登录：$LAST" | \
    mail -s "Login Alert: $(hostname)" [email protected]
fi
SCRIPT
chmod +x /usr/local/bin/login-monitor.sh
echo "*/30 * * * * root /usr/local/bin/login-monitor.sh" >> /etc/crontab

第16项：关键进程异常监控

cat > /usr/local/bin/process-monitor.sh << 'SCRIPT'
#!/bin/bash
// 监控关键服务
for svc in sshd nginx php-fpm mysqld redis; do
    if ! systemctl is-active --quiet $svc 2>/dev/null; then
        echo "$svc is DOWN on $(hostname) at $(date)" | \
        mail -s "Service Alert" [email protected]
    fi
done

// 监控CPU使用率超过90%的进程
HIGH_CPU=$(ps aux --sort=-%cpu | awk 'NR>1 && $3>90 {print $0}')
if [ -n "$HIGH_CPU" ]; then
    echo "高CPU进程：$HIGH_CPU" | \
    mail -s "Resource Alert: $(hostname)" [email protected]
fi
SCRIPT
chmod +x /usr/local/bin/process-monitor.sh
echo "* * * * * root /usr/local/bin/process-monitor.sh" >> /etc/crontab

第17项：内核安全参数加固

cat >> /etc/sysctl.d/99-kernel-hardening.conf << 'EOF'
// 禁用IP转发（非路由器时）
net.ipv4.ip_forward = 0

// 限制内核指针泄露
kernel.kptr_restrict = 2

// 限制dmesg访问
kernel.dmesg_restrict = 1

// 限制perf_event访问
kernel.perf_event_paranoid = 3

// 启用ASLR
kernel.randomize_va_space = 2

// 限制core dump
fs.suid_dumpable = 0
EOF

sudo sysctl -p /etc/sysctl.d/99-kernel-hardening.conf

第18项：自动化漏洞扫描

// 安装lynis（Linux安全审计工具）
sudo yum install -y git
git clone https://github.com/CISOfy/lynis.git /opt/lynis

// 执行安全审计
sudo /opt/lynis/lynis audit system

// 查看报告
cat /var/log/lynis.log | grep "warning\|suggestion" | tail -30

// 设置每周自动扫描
echo "0 3 * * 0 root /opt/lynis/lynis audit system --cronjob" >> /etc/crontab

第四部分：数据备份与恢复（第19-24项）

第19项：自动备份策略

// 全站备份脚本
cat > /usr/local/bin/backup.sh << 'SCRIPT'
#!/bin/bash
BACKUP_DIR="/backup/$(date +%Y%m%d)"
mkdir -p $BACKUP_DIR

// 数据库备份
mysqldump --all-databases | gzip > $BACKUP_DIR/all-db-$(date +%H%M).sql.gz

// Web文件备份
tar czf $BACKUP_DIR/web-files.tar.gz /var/www/ --exclude='*.cache'

// 配置文件备份
tar czf $BACKUP_DIR/configs.tar.gz /etc/nginx/ /etc/php.ini

// 只保留最近30天
find /backup -maxdepth 1 -type d -mtime +30 -exec rm -rf {} \;

echo "Backup completed: $BACKUP_DIR"
SCRIPT
chmod +x /usr/local/bin/backup.sh
echo "0 2 * * * root /usr/local/bin/backup.sh" >> /etc/crontab

第20项：异地容灾备份

// 使用rclone同步到S3
curl https://rclone.org/install.sh | sudo bash
rclone config  # 配置S3远程

// 每日同步备份到S3
cat > /usr/local/bin/s3-sync.sh << 'SCRIPT'
#!/bin/bash
rclone sync /backup remote:server-backups/$(hostname) \
    --transfers 4 --checkers 8 \
    --log-file=/var/log/rclone.log
SCRIPT
chmod +x /usr/local/bin/s3-sync.sh
echo "30 3 * * * root /usr/local/bin/s3-sync.sh" >> /etc/crontab

第21项：敏感数据加密存储

// 使用GPG加密备份文件
gpg --batch --passphrase "your-encryption-key" \
    --symmetric --cipher-algo AES256 \
    $BACKUP_DIR/all-db-$(date +%H%M).sql.gz

// 解密命令
gpg --batch --passphrase "your-encryption-key" \
    --decrypt $BACKUP_DIR/all-db-*.sql.gz.gpg > decrypted.sql.gz

第22项：备份验证（最关键的一步！）

cat > /usr/local/bin/verify-backup.sh << 'SCRIPT'
#!/bin/bash
// 验证最近的数据库备份
LATEST=$(ls -t /backup/*/all-db-*.sql.gz | head -1)
if [ -z "$LATEST" ]; then
    echo "没有找到备份文件" | mail -s "Backup Verify FAILED" [email protected]
    exit 1
fi

// 尝试解压
if gzip -t $LATEST; then
    echo "备份文件完整：$LATEST"
else
    echo "备份文件损坏：$LATEST" | mail -s "Backup Verify FAILED" [email protected]
fi

// 尝试恢复到临时数据库验证
gunzip -c $LATEST | mysql -u root -e "CREATE DATABASE IF NOT EXISTS backup_test; USE backup_test; SOURCE /dev/stdin;" 2>/dev/null
if [ $? -eq 0 ]; then
    echo "备份可恢复"
else
    echo "备份恢复失败" | mail -s "Backup Verify FAILED" [email protected]
fi
SCRIPT
chmod +x /usr/local/bin/verify-backup.sh
echo "0 4 * * * root /usr/local/bin/verify-backup.sh" >> /etc/crontab

第23项：云快照策略

AWS：

// 创建每日快照（AWS CLI）
aws ec2 create-snapshot --volume-id vol-xxx --description "Daily $(date +%F)"

// 自动清理7天前的快照
aws ec2 describe-snapshots --owner-ids self | \
    jq -r '.Snapshots[] | select(.StartTime < (now - 7*86400 | todate)) | .SnapshotId' | \
    xargs -I{} aws ec2 delete-snapshot --snapshot-id {}

阿里云：

// 使用ECS快照策略
aliyun ecs CreateSnapshotPolicy \
    --RegionId ap-southeast-1 \
    --PolicyName daily-backup \
    --RetentionDays 7 \
    --RepeatDays 1 \
    --TimePoints '["02:00"]'

第24项：灾难恢复演练

// 每季度执行一次恢复演练
cat > /usr/local/bin/dr-drill.sh << 'SCRIPT'
#!/bin/bash
echo "=== 灾难恢复演练 $(date) ===" >> /var/log/dr-drill.log

// 1. 停止服务
systemctl stop nginx php-fpm

// 2. 恢复备份到临时目录
LATEST=$(ls -t /backup/*/web-files.tar.gz | head -1)
mkdir -p /drill-test
tar xzf $LATEST -C /drill-test

// 3. 恢复数据库
LATEST_DB=$(ls -t /backup/*/all-db-*.sql.gz | head -1)
gunzip -c $LATEST_DB | mysql -u root

// 4. 启动服务并验证
systemctl start nginx php-fpm
HTTP_STATUS=$(curl -s -o /dev/null -w "%{http_code}" http://localhost/)
echo "恢复后HTTP状态：$HTTP_STATUS" >> /var/log/dr-drill.log

// 5. 清理
rm -rf /drill-test
echo "=== 演练完成 ===" >> /var/log/dr-drill.log

echo "DR演练完成，HTTP状态：$HTTP_STATUS" | mail -s "DR Drill Report" [email protected]
SCRIPT
chmod +x /usr/local/bin/dr-drill.sh

主流云厂商安全功能对比

总结：安全是一个持续的过程

这24项安全检查不是一次性的任务清单，而是一个需要持续维护的体系。建议建立以下机制：

1. 每月安全审计：运行lynis扫描，对比上月结果
2. 每季度恢复演练：验证备份可恢复性
3. 每年渗透测试：找专业团队做外部安全评估
4. 持续监控告警：Prometheus + Grafana可视化安全指标

安全投入的ROI很高：一次数据泄露的平均损失是386万美元（IBM 2024数据泄露报告），而一套完整的安全加固方案成本不到1000美元/年。更重要的是，安全加固带来的不仅是成本节约，还有客户信任和合规资质。对于出海企业来说，GDPR、SOC2等合规认证往往以服务器安全为前提，没有基础安全加固，任何合规框架都是空中楼阁。

CTA引导

企业出海需要云架构咨询？通过 7.chengzicloud.cloud 联系我们，获取专属方案。

---

本文由 7.chengzicloud.cloud 提供，点击访问首页了解更多

// 查看封禁列表
sudo fail2ban-client status sshd
// 手动解封IP
sudo fail2ban-client set sshd unbanip 1.2.3.4
// 添加白名单（永久不封禁）
echo "1.2.3.4" >> /etc/fail2ban/ignoreip
sudo fail2ban-client reload

// 安装Ansible
pip install ansible
// 创建playbook
cat > security-hardening.yml << 'EOF'
---
- hosts: all
become: yes
roles:
- ssh-hardening
- firewall
- audit
- backup
EOF
// 执行
ansible-playbook -i inventory security-hardening.yml