服务器安全加固是系统性工作，需坚持最小权限、纵深防御、持续验证；严格管控账号认证，禁用默认账户与弱口令，强制密钥登录或强密码策略；最小化开放服务与端口；强化日志审计与基线监控。
服务器安全加固不是一次性任务，而是围绕“最小权限、纵深防御、持续验证”展开的系统性工作。核心目标是减少攻击面、提高入侵门槛、确保异常行为可发现可追溯。不同系统侧重点略有差异，但逻辑相通。
宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。
账号与身份认证必须严格管控
弱口令和默认账户是绝大多数入侵的入口。Linux下禁用root远程登录，创建独立运维账户并配sudo权限；Windows则必须重命名Administrator、禁用Guest，并启用强密码策略（长度≥12，含大小写字母、数字、特殊字符）。连续5次输错即锁定账户30分钟，且复位计数器也设为30分钟——这能有效阻断自动化暴力破解。所有密码策略变更后需执行gpupdate /force（Windows）或systemctl restart sshd（Linux）生效。
SSH与远程访问要层层设防
不要只改端口，关键在认证方式。Linux务必关闭密码登录，强制使用密钥对（私钥妥善保管，公钥部署到~/.ssh/authorized_keys），同时在sshd_config中限制允许登录的用户列表（AllowUsers admin）和IP段（AllowUsers admin@192.168.1.0/24）。Windows若需远程桌面，应修改默认3389端口，并在防火墙中仅放行可信IP段，而非全网开放。
服务与端口遵循最小开放原则
先用systemctl list-units --type=service --state=running（Linux）或services.msc（Windows）清点所有运行服务，停用并禁用非业务必需项（如CUPS打印、Telnet、SNMP）。再用netstat -tuln或Get-NetTCPConnection | Where State -eq 'Listen'确认监听端口，防火墙只放行明确需要的端口（如80、443、自定义管理端口），其余一律拒绝。云服务器还需同步检查云平台安全组规则，避免底层防火墙与系统防火墙策略冲突。
日志审计与基线监控不能流于形式
开启登录、权限变更、关键命令执行等审计事件（Linux用auditd，Windows用secpol.msc中审核策略），日志至少保留90天并集中收集。每天快速扫一眼last（Linux）或“事件查看器→安全日志”（Windows），重点关注非常规时间、陌生IP、失败次数陡增等信号。定期比对进程、网络连接、计划任务快照，哪怕只是简单执行ps aux | sha256sum和crontab -l | sha256sum存档，也能在出事时快速定位异常变更。
不复杂但容易忽略
