TG咨询服务器上线后，默认配置通常优先考虑“能运行”，而不是“足够安全”。因此，服务器安全加固不能只安装一个防火墙软件，而应从系统、账号、网络和数据恢复几个层面依次处理。下面这套流程适用于常见的 Ubuntu Server、Debian、Rocky Linux 以及 Windows Server 基础环境，具体命令仍需结合系统版本确认。
一、先盘点资产和管理入口
服务器安全加固的第一步不是改密码，而是确认服务器到底运行了什么。记录主机用途、操作系统版本、内网地址、公网地址、监听端口、运行服务、管理账号和数据目录。可以在 Linux 中使用 ss -tulpen 查看监听端口，在 Windows Server 中使用 PowerShell 的 Get-NetTCPConnection 查看连接和监听状态。
对照业务清单关闭无用途的服务。例如，未使用文件传输、邮件或数据库功能时，不应让相关服务长期监听公网。管理入口也要单独列出，生产服务器通常只允许来自办公网、VPN 或堡垒机的管理连接，不宜向整个互联网开放。
二、收紧账号、权限与远程登录
Linux 主机
- 建立个人管理员账号，加入 sudo 或 wheel 组，避免多人共用 root。
- 确认 SSH 使用密钥认证，测试新账号可以正常登录后，再考虑关闭密码登录。
- 在 SSH 配置中禁止 root 直接远程登录，并限制允许登录的用户或用户组。
- 为服务账号设置不可交互登录，避免应用账号被当作日常管理账号使用。
Windows Server
应停用不需要的本地账号，限制 Administrators 组成员数量，并通过组策略设置密码长度、锁定阈值和登录审计。若必须使用远程桌面，应限制来源地址，启用网络级别身份验证，并避免直接暴露在公网。
最小权限是服务器安全加固的核心原则：网站进程只访问网站目录，数据库账号只拥有所需库表权限，备份账号不能随意修改生产数据。权限设置完成后，至少用普通账号验证一次实际访问范围。
三、及时更新系统和软件
补丁管理应先在测试环境验证，再安排生产变更。Linux 可先更新软件源索引并查看待更新包；Windows Server 则通过组织内部更新策略或系统更新机制统一管理。重点关注操作系统、OpenSSH、Web 服务器、数据库、运行时组件和虚拟化工具。
需要重启的更新应安排维护窗口。内部系统通常可以预留更长时间，面向外部用户的服务则应先准备备用节点、健康检查和回滚方案。服务器安全加固并不意味着见到补丁就立即安装，而是要同时控制兼容性和回退风险。
四、配置主机防火墙和网络边界
防火墙规则建议采用“默认拒绝、按需放行”。先保留管理入口，再放行业务确实需要的端口，例如网站常见的 443，数据库端口则尽量只对应用服务器的内网地址开放。不要因为排查方便而长期放开全部端口。
Linux 主机可使用 ufw 或 firewalld 管理规则；规模较大的环境还应在云安全组、硬件防火墙或网络 ACL 层面重复限制。双层控制的优点是主机规则误改后仍有外围保护，缺点是排查连接问题时需要同时检查多个策略。
暴露在公网的 SSH 或其他管理服务，应设置来源地址白名单、连接速率限制和登录失败监控。入侵检测工具可以辅助发现异常尝试，但不能代替补丁更新和访问控制。
五、保护数据、日志和密钥
服务器安全加固还要覆盖敏感数据。数据库密码、云访问密钥和第三方凭据不应直接写入公开代码仓库或网页目录，宜使用权限受限的配置文件、密钥管理服务或系统凭据存储。密钥应按人员和用途分开，人员离职或项目结束后及时撤销。
日志至少包括登录成功与失败、权限变更、服务启停、配置修改和备份结果。Linux 可检查 journald、auth.log 或 secure，Windows Server 可检查事件查看器中的安全日志。日志应发送到权限隔离的集中位置，避免入侵者修改主机后同时抹掉证据。
六、制定备份与恢复验证流程
备份不是复制文件后就结束。应分别保护配置、数据库和业务文件，并明确备份周期、保留时间、加密方式以及恢复负责人。重要数据至少保留一份与生产主机隔离的副本；同一磁盘上的镜像不能替代独立备份。
每次系统重大变更前先制作可回滚快照或备份。恢复测试可先在隔离环境进行，检查数据库一致性、文件权限、应用启动顺序和域名切换方案。恢复时间目标和可接受的数据丢失范围不同，备份频率也应随之调整。
七、上线后持续复核
- 每周检查新增账号、管理员组成员、监听端口和失败登录记录。
- 每月复核补丁状态、防火墙规则、备份结果和过期密钥。
- 系统变更后重新进行端口扫描、权限验证和核心功能检查。
- 发现异常登录、未知进程或配置被改动时，先隔离主机并保留日志，再按应急流程处理。
常见做法是把检查结果形成清单，由不同人员复核关键项。这样能避免“配置做过但后来被改回去”的问题，也让服务器安全加固从一次性工作变成持续管理。
常见问题
1. 只安装防病毒软件够不够？
不够。防病毒软件主要处理恶意文件和进程，仍需配合补丁管理、账号控制、防火墙、日志审计和备份恢复。
2. SSH 是否必须更换默认端口？
更换端口只能减少部分自动化扫描，不能替代密钥登录、来源限制和失败登录监控。安全重点应放在身份验证与权限控制上。
3. 服务器能否直接关闭所有端口？
不能。应先确认业务依赖，只开放必要端口，并区分公网访问、内网访问和管理访问。
4. 多久做一次安全复核？
账号和日志可按周检查，补丁、端口、备份和密钥可按月复核；发生重大变更或安全事件后应立即重新检查。
归纳来看，服务器安全加固应按“盘点资产、收紧账号、更新补丁、限制网络、保护日志、验证备份、持续复核”的顺序完成。按步骤执行，比单独堆叠安全工具更容易发现薄弱环节，也更便于后续维护。
