服务器安全加固与备份必须同步推进，加固防攻击、备份抗失守；加固前须备份关键配置、防火墙规则、系统基线及服务清单；备份需满足不裸露、不单点、不静止；须定期验证还原能力并纳入自动化流程。

服务器安全加固和备份策略必须同步推进，不能只做加固不备份，也不能只备份不加固——加固防得住攻击，备份扛得住失守。

一、加固前必须做的备份动作

任何加固操作都可能引发服务异常，所以第一步永远是“留退路”：

• 备份所有关键配置文件：/etc/ssh/sshd_config、/etc/passwd、/etc/shadow、/etc/fstab、/etc/sysctl.conf、/etc/rsyslog.conf、/etc/hosts.allow 和 /etc/hosts.deny
• 备份防火墙规则：iptables 或 nftables 当前策略（如 iptables-save > /opt/backup/iptables-$(date +%Y%m%d).rules）
• 记录系统基线状态：用 ps auxf > processes-backup.txt 和 netstat -tuln > ports-backup.txt 留存当前进程与端口清单
• 导出服务清单：systemctl list-units --type=service --all > services-backup.txt

二、备份本身要安全可靠

备份文件若被攻击者篡改或加密，就失去意义。必须满足“三不”原则：不裸露、不单点、不静止：

宝塔Linux面板11.3.0

宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。

下载

• 备份目录权限设为 700，属主为 root，禁止其他用户读写
• 备份存储位置必须独立于系统盘（如挂载的 /mnt/backup），严禁放在 /var 或 /home 下
• 全量备份 + 增量备份组合使用：全量每周一次，增量每日一次；保留至少 3 份历史版本
• 异地保存：备份文件同步至另一台可信服务器或对象存储（如 OSS/S3），并启用服务端加密

三、加固过程中持续验证备份有效性

备份不是“存进去就完事”，要定期抽检还原能力：

• 每月随机抽取一个备份包，在隔离环境执行 tar -tzf 验证压缩完整性
• 每季度模拟一次关键文件误删场景（如删掉 /etc/ssh/sshd_config），用备份快速恢复并确认 SSH 可登录
• 对数据库类服务，额外做逻辑备份（如 mysqldump + gzip），并校验 SQL 文件可执行性

四、把备份纳入自动化加固流程

人工操作易遗漏，建议将备份嵌入加固脚本开头：

示例（CentOS/Ubuntu 通用）：

mkdir -p /mnt/backup/hardening-$(date +%Y%m%d)
tar -zcf /mnt/backup/hardening-$(date +%Y%m%d)/config-$(hostname).tar.gz \
  /etc/ssh/sshd_config /etc/passwd /etc/shadow /etc/fstab /etc/sysctl.conf \
  --exclude='/etc/ssh/ssh_host_*' --exclude='/etc/ssl/private'
iptables-save > /mnt/backup/hardening-$(date +%Y%m%d)/iptables.rules
ps auxf > /mnt/backup/hardening-$(date +%Y%m%d)/processes.log