标准化加固能有效堵住SSH暴力破解等常见攻击入口，核心是建立可复用、可审计、可回滚的操作规范，涵盖服务分类管理、统一基线配置、访问控制约束及持续验证机制。
通过对系统网络服务组件做标准化加固，能有效堵住常见攻击入口，比如SSH暴力破解、Web服务默认配置泄露、数据库未授权访问等。核心不是堆砌工具，而是建立可复用、可审计、可回滚的操作规范。
明确服务组件清单并分类管理
先梳理当前运行的所有网络服务（如SSH、HTTP/HTTPS、FTP、MySQL、Redis、Nginx/Apache等），区分“必须对外”“仅内网可用”“完全禁用”三类。例如：
- SSH服务必须启用，但仅限指定IP段访问，且禁用密码登录；
- MySQL默认监听127.0.0.1，若需远程则强制绑定业务网段+启用SSL+账号白名单；
- 测试用的FTP、Telnet、SNMP等非必要服务一律关闭并卸载对应包。
统一配置基线与最小化原则
每个组件按安全基线配置，避免依赖默认设置。关键动作包括：
- 修改默认端口（如将SSH从22改为2222，Tomcat从8080改为8090），降低自动化扫描命中率；
- 禁用危险功能：SSH关闭PermitRootLogin和PasswordAuthentication；Nginx禁用server_tokens、删除默认错误页、限制HTTP方法（仅GET/HEAD/POST）；
- 限制监听范围：所有服务默认绑定127.0.0.1，确需外部访问时显式指定网卡IP或子网；
- 降权运行：MySQL、Redis、Nginx等均以专用低权限用户启动，禁止使用root或admin账户。
接入访问控制与行为约束
单靠服务自身配置不够，需叠加网络层与系统层控制：
- 防火墙（iptables/nftables或云安全组）只放行白名单端口+源IP，其余全拒；
- 为SSH、Web后台等敏感入口启用fail2ban或crowdsec，对短时间多次失败登录自动封禁IP；
- 数据库启用连接数限制、慢查询日志、账号最小权限（如应用账号仅授予所需DB的SELECT/INSERT权限）；
- Web中间件配置请求头校验（如X-Forwarded-For过滤）、上传目录无执行权限、静态资源分离托管。
建立配置验证与持续检查机制
加固不是一次操作，需防止配置漂移和人为误改：
- 用Ansible/Chef等工具固化配置模板，每次变更走代码评审+灰度部署；
- 每日执行脚本比对关键配置文件（如/etc/ssh/sshd_config、/etc/my.cnf）哈希值，异常即告警；
- 每月用Nessus/OpenVAS扫描服务组件版本与配置风险，重点验证是否仍存在CVE-2023-XXXX类已知漏洞；
- 保留每轮加固前后的备份快照与操作记录，确保故障时5分钟内可回退。
