做好这几项Linux服务器安全配置，轻松挡住绝大多数恶意入侵

很多人买完服务器搭网站跑项目，光顾着赶业务上线，安全那页直接就翻过去了。等到被黑、数据被删、服务器被种挖矿木马卡到动不了，才拍大腿后悔，这事儿我见过太多了。

改SSH默认配置，把入侵门槛拉满

这块就是俩一分钟就能改完的操作，绝大多数入门玩家都嫌麻烦不肯做，恰恰给入侵者留了大门。

• 改掉默认22端口，先编辑配置文件： ``` vi /etc/ssh/sshd_config ``` 找到Port 22那行，去掉开头的注释，把22改成10000以上你记得住的随便一个端口就行，别选常用服务端口段。改完保存，先去服务商后台安全组放通新端口，再重启SSH服务： ``` systemctl restart sshd ``` 一定记得先测试新端口能连上，再关旧的22，别把自己锁在门外。
• 禁用root远程登录，还是在sshd_config配置文件里，找到PermitRootLogin改成no就行。提前建一个普通用户，给它开sudo权限，平时用普通用户登录，需要root权限再切。哪怕密码不小心泄露，入侵者拿不到最高权限，也翻不了天，这不就相当于把主卧反锁了，小偷就算进客厅也偷不到核心东西？

别再用弱密码了，换个玩法真的不难

说真的，现在暴力破解工具跑密码快得离谱，123456、root、服务器名这种弱密码，几秒钟就破了。还有人所有平台用同一个密码，那简直是送分题。

现在密码管理器那么多，直接生成个16位以上的随机密码存进去，根本不用你记，说白了密码长度不够12位的，都是主动给入侵者开门呢。

开个防火墙，只放通你要用的端口

我见过太多人图方便，直接把服务器防火墙关了，所有端口全对外开放，这操作跟你家不装门全敞着没区别啊。

Linux自带的firewalld或者ufw都很好用，你只需要开你用到的端口：跑网站就开80、443，用新SSH端口就开新端口，剩下的全关掉就行。举个最简单的例子，firewalld开端口也就一句话： ``` firewall-cmd --add-port=12345/tcp --permanent && firewall-cmd --reload ``` 半分钟就能弄完，费不了什么事。

定期更补丁，别攒着老漏洞不管

你有没有发现，现在大部分公开入侵，用的都是好几年前的老漏洞？很多服务器从买来到被黑，从来没更过系统补丁，漏洞摆那儿五六年都不修，这不就是等着被扫吗？

就好比你家窗户破了个洞你不补，小偷不就直接从洞钻进来了？更个补丁也不麻烦，Debian系的跑一句apt update && apt upgrade，CentOS跑yum update，半个月跑一次也就几分钟的事。怕更补丁影响业务？那你一个季度跑一次，也比从来不管强太多。

没事儿扫扫木马，别等挖矿了才反应过来

我见过好多服务器，跑了大半年挖矿木马，CPU一直100%占满，主人还以为是自己程序写得烂性能不够。其实整个免费工具就能搞定，比如clamav或者chkrootkit，半个月扫一次，常见木马一抓一个准。

还有个小技巧，平时没事儿敲个top看看进程，有没有陌生进程占了大量CPU内存，一眼就能看出不对劲。

其实Linux服务器安全真的没那么玄乎，就是这么几件随手能做的小事。99%的自动入侵，都是扫到默认端口、弱密码直接进来的，你把这几道小门堵上，大部分黑产扫描根本碰不到你的服务器，别等数据丢了、服务器被封了才想起做安全，那时候真的晚了。