服务器安全配置与加固是持续过程，需最小化暴露面、强化认证授权、及时更新、完善日志审计。具体包括：精简服务与端口、禁用默认账户、SSH密钥登录、角色化权限管理、自动安全更新、官方渠道升级应用、监控高危漏洞、集中日志收集、命令与系统调用审计、基础异常告警。

服务器安全配置与加固不是一次性任务，而是持续的过程。核心在于减少攻击面、限制权限、及时更新、并保留可追溯的日志。

最小化系统暴露面

安装越少，风险越低。操作系统初始化后，只保留必要服务和软件包。

• 禁用或卸载无用服务（如telnet、ftp、rsh、avahi-daemon）；用systemctl list-unit-files --type=service查看启用状态
• 关闭默认开放的非业务端口；用ss -tuln或netstat -tuln检查监听端口
• 移除默认账户（如ubuntu、centos安装时创建的普通用户），禁用root远程登录

强化身份认证与访问控制

密码不是唯一防线，多层验证和精细授权才能真正守住入口。

宝塔Linux面板11.3.0

宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。

下载

• 强制使用SSH密钥登录，禁用密码认证（修改/etc/ssh/sshd_config中PasswordAuthentication no）
• 为不同角色创建专用系统用户，通过sudoers按需授权命令，避免直接给sudo权限
• 设置SSH登录失败锁定（如fail2ban）或限制重试次数（MaxAuthTries 3）

保持系统与应用持续更新

已知漏洞是攻击者最常利用的入口，延迟更新等于主动留门。

• 启用自动安全更新（如Ubuntu的unattended-upgrades，CentOS/RHEL的dnf-automatic）
• 定期审查第三方应用（如Nginx、MySQL、PHP）版本，不依赖系统源时，从官方渠道获取更新
• 对内核、OpenSSL、glibc等底层组件保持敏感，高危漏洞（如Log4j、Dirty Pipe）需立即响应

日志审计与异常监控

没有记录的事件等于没发生过；没有分析的日志只是数据垃圾。

• 集中收集关键日志（auth.log、secure、messages、nginx access/error log），建议用rsyslog+syslog-ng转发至独立日志服务器
• 启用命令执行日志（在/etc/bash.bashrc或用户profile中添加export HISTTIMEFORMAT="%F %T "，并配置auditd监控敏感系统调用
• 配置基础告警规则（如root登录、多次失败SSH、sudo提权、异常进程启动），可用swatch、auditd或轻量工具如goaccess+grep组合实现