很多公司往云上迁业务，但新开的服务器默认配置几乎不设防：root 直接远程、密码弱、端口全开，攻击者扫一圈就能拿下。
先说清楚场景
最典型的：22 端口对全网开放 + root 用密码登录 + 密码是弱口令，等于把钥匙挂在门上。还有数据库端口也对外暴露，直接被拖库。
另一块是「忘记关测试端口」：调试时开的 8080、3306 没关，成了长期后门。
该看的几项
- 禁 root 直登：用普通账号 + sudo，root 禁远程密码登录。
- 改 SSH 端口 / 限 IP：22 改掉或只放行运维 IP。
- 强口令 + 密钥：用 SSH 密钥代替密码登录。
- 关多余端口：只开 80/443，数据库不对外。
- 装基础防护：防火墙 + 失败锁定 + 自动更新。
- 最小权限：应用账号不给 root。
- 留审计：开登录与命令日志。
常见的两个误区
- 误区一：有云厂商防火墙就够。主机层不加固照样被进。
- 误区二：内网机器不用管。一台失陷，横向打穿内网。
按这个顺序做
- 新机上线先跑一遍基线检查。
- 禁 root 密码登录，改密钥。
- 收敛端口，数据库不暴露公网。
- 开自动更新与登录审计。
- 用本地工具生成「服务器安全基线检查表」。
什么时候需要工具
数字安全盾的公网资产测绘流水线会扫描你暴露在公网的端口与服务，标出「该关没关」的项，输出整改清单而不是泛泛而谈。
可以继续看
以上为通用自查思路，不构成安全认证、等保测评结论或法律意见。具体实施请结合实际系统与业务判断；涉及取证、事故处置时请联系专业机构。