最近想搭一个服务器 大佬们来指导下安全问题

[Befehishaber]

1 、改 ssh 端口 2 、禁止 root 远程登录 3 、禁止除 xxx 用户的一切用户 su 4 、禁用密码使用密钥 5 、上 fail2ban 6 、使用 nginx 代理 7 、除 ssh 和服务端口其他端口全部关闭 8 、vm 自动快照

在做好上述步骤后 还会存在侵入和数据丢失风险吗

[mohumohu]

你不如搭个 zerotier ，一个端口都不用开

[cwcc]

没有绝对的安全，只有降低风险的措施。所以你说还会存在侵入和数据丢失风险的问题，答案永远是否定的。你能做的只有加强安全检测和防护，以及数据备份。你提到的几个措施都是很有效的防范措施，但不能保证服务器不出事。另外，对于开公网的服务器，如果业务很重要的话，也要在外面套 IPS/WAF 等措施。

[cwcc]

@cwcc 修正语病：肯定

[taogen]

可以看下我之前写的一篇博客
https://taogenjia.com/2019/10/09/%E6%9C%8D%E5%8A%A1%E5%99%A8%E5%9F%BA%E6%9C%AC%E7%9A%84%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8%E9%98%B2%E6%8A%A4/

[gzlock]

其实用外网的 vps+cf tunnel 的可行性怎么样？

[seers]

我有台公网小鸡跑了三四年了都没被黑过，就关掉了密码登陆用 key

[mineralsalt]

只要把 root 密码搞复杂些, 就完全够了

[bjzhush]

除了防攻击，还要做定时数据备份，把万一被黑或者其它意外之后丢失数据的损失降低的最小

[defunct9]

裸奔是王道

[poyanhu]

换个 ssh 端口，用证书登陆。其他无所谓了。

[Hack3rHan]

其实你自己用的话，你只需要关注对外暴露的服务就可以了，改 SSH 端口都多余的，减小不必要的暴露面，保证运行的服务没有已知漏洞就可以了。公司服务器的话，总体上也是类似的思路，要是不安心，应该不难找到一些配置规范相关文档，参考着来。

[Befehishaber]

@cwcc 哈哈哈

[Befehishaber]

@gzlock 不知道 没听别人谈过呢

[iyiluo]

只要服务器提供了对外服务，就存在入侵的风险，因为软件 bug 是永远无法消灭的

[Befehishaber]

@seers 嗯嗯 理论上是这样 但是一直被扫描还是会影响性能的

[Befehishaber]

@taogen 很全面 应该够大部分人用了

[Moofeng]

一般服务器最主要的风险就是暴露在外的服务，其他的不用过多担心，但问题就是时间一长，很多人就疏忽了对自己这些服务的管理。

[benedict00]

有时间可看看这个，算是安全基线的东西，有些参考价值。https://learn.cisecurity.org/benchmarks

[bingfengfeifei]

被攻破的基本上都是弱密码或者有漏洞的

[benedict00]

@benedict00 https://downloads.cisecurity.org/#/