恶意行为者总是在寻找服务器漏洞。系统管理员和安全员的职责是确保服务器上的数据安全可靠。通过实施我们的服务器安全提示和最佳实践，最大限度地降低风险并提高您维护的系统的安全性。

服务器安全是一组保护服务器免受所有类型威胁的措施，例如DDoS攻击、暴力攻击以及粗心或恶意用户。这些措施可以包括安装和维护防火墙、强制执行强密码和用户身份验证协议、安装防病毒软件以及进行定期备份以避免数据丢失。

服务器在业务敏感数据处理和存储中起着关键作用。使用服务器安全措施保护服务器免受外部威胁对于维护以下内容至关重要：

下面列出了提高服务器安全性的21个技巧。它包含专门用于Internet连接和用户管理的部分，您可以在这些方面最有效地提高系统的整体强度。此外，该列表还介绍了整个服务器安全领域的其他最佳实践。

1.建立和使用安全连接

连接到远程服务器时，必须建立安全的通信通道。SSH（安全外壳）协议是建立受保护连接的最佳方式。不同于以前使用的Telnet不同，SSH访问对交换中传输的所有数据进行加密。要使用SSH协议进行远程访问，您必须安装SSH守护程序和SSH客户端来发出命令和管理服务器。

默认情况下，SSH使用端口22。更改默认端口号是减少黑客攻击您的服务器机会的简单方法。因此，SSH的最佳实践是使用1024和32,767之间的随机端口号。

2.使用SSH密钥认证

您可以使用一对SSH密钥来验证SSH服务器，而不是密码，这是传统登录的更好替代方法。这些密钥携带的比特数比密码多得多，目前的计算机无法轻易破解它们。例如，流行的RSA2048位加密就相当于一个617位密码。

SSH密钥对由公钥和私钥组成。公钥有多个副本，其中一个留在服务器上，其他的则与用户共享。拥有公钥的任何人都具有加密数据的能力，而只有拥有相应私钥的用户才能读取这些数据。私钥不得与任何人共享，必须妥善保管。建立连接时，服务器会在允许特权访问之前要求提供用户拥有私钥的证据。

3.安全文件传输协议

使用安全文件传输协议(FTPS)有助于将文件传输到服务器或从服务器传输文件，而不会有恶意行为者破坏或窃取数据的危险。FTPS使用命令和数据通道来加密数据文件和身份验证信息。请务必记住，FTPS仅在传输过程中保护文件。一旦他们到达服务器，数据就不再加密。出于这个原因，在发送文件之前加密文件增加了另一层安全性。

4.安全套接字层证书

使用安全套接字层(SSL)保护您的Web管理区域和表单，保护通过Internet在两个系统之间传递的信息。SSL可用于服务器-客户端和服务器-服务器通信。

该程序对数据进行加密，以便敏感信息（例如姓名、身份证、信用卡号码和其他个人信息）不会在传输过程中被盗。具有SSL证书的网站在URL中带有HTTPS，表明它们是安全的。

证书不仅加密数据，还用于用户身份验证。因此，通过管理服务器的证书，SSL有助于建立用户权限。管理员可以将服务器配置为与中央机构和该机构签署的任何其他证书进行通信。

5.使用专用网络和VPN

确保安全通信的另一种方法是使用专用和虚拟专用网络(VPN)以及OpenVPN等软件（请参阅我们在CentOS上安装和配置OpenVPN的指南）。与外部世界可以访问并因此容易受到恶意用户攻击的开放网络不同，专用和虚拟专用网络限制对选定用户的访问。

私有网络使用私有IP在同一IP范围内的服务器之间建立隔离的通信通道。这允许同一网络中的多个服务器在不暴露于公共空间的情况下交换信息和数据。当您想像通过专用网络在本地连接一样连接到远程服务器时，请使用VPN。VPN支持完全安全和私密的连接，并且可以包含多个远程服务器。对于在同一VPN下通信的服务器，它们必须共享安全和配置数据。

6.监控登录尝试

使用入侵防御软件来监控登录尝试是一种保护您的服务器免受暴力攻击的方法。这些自动攻击使用试错法，尝试每一种可能的字母和数字组合来访问系统。入侵防御软件监督所有日志文件并检测是否有可疑的登录尝试。当尝试次数超过设定的标准时，入侵防御软件会在一段时间内或无限期地封锁该IP地址。

7.管理用户

每个服务器都有一个可以执行任何命令的根用户。由于它具有的访问级别，如果服务器落入坏人之手，root可能会很危险。完全禁用SSH的根登录是一种普遍的做法。

由于root用户拥有最大的权限，因此黑客将注意力集中在尝试破解root密码上。当您完全禁用此用户时，您会使攻击者处于不利地位并保护服务器免受潜在威胁。为确保外人不会滥用root权限，请创建一个受限用户帐户。此帐户没有与root相同的权限，但可以使用sudo命令执行管理任务。因此，您可以使用有限的用户帐户管理大多数任务，并且仅在必要时才使用root帐户。

8.建立密码要求

首先是设置所有服务器用户必须遵守的密码要求和规则。请遵循以下基本规则：

9.设置密码过期策略

设置密码的到期日期是建立用户需求时的另一种常规做法。根据所需的安全级别，密码可能会持续数周或数月。

10.使用密码作为服务器密码

使用密码而不是密码可以帮助提高服务器安全性。主要区别在于密码短语更长并且单词之间包含空格。因此，它通常是一个句子，但不一定是一个。例如，密码密码可能是：Ilove!EatingPizzaAt1676MainSt。给定的示例比通常的密码更长，并且包含大写和小写字母、数字和唯一字符。此外，记住密码比记住一串随机字母要容易得多。由于它由49个字符组成，因此更难破解。

11.密码禁忌

如果您想维护一个安全的服务器，那么在密码方面您需要避免一些事情。请注意存储密码的位置。不要把它们写在纸上，放在办公室里。

建议不要使用个人信息，例如您的生日、家乡、宠物名称和其他可以将您与密码联系起来的东西。这些非常容易猜到，尤其是认识你的人。仅包含简单字典单词的密码也很容易破解，尤其是通过字典（暴力）攻击。此外，尽量避免在同一密码中重复字符序列。

不要对多个帐户使用相同的密码。通过回收密码，您将自己置于重大风险之中。如果黑客设法获得对单个帐户的访问权限，则使用相同密码的所有其他帐户都可能处于危险之中。尝试为每个帐户使用不同的密码，并使用KeePass等密码管理器跟踪它们。

12.定期更新和升级软件

定期更新服务器上的软件对于保护服务器免受黑客攻击至关重要。过时的软件已经针对其弱点进行了探索，这让黑客可以利用并破坏您的系统。

自动更新是保证您不会跳过重要更新的一种方式。允许系统进行自动更改可能会有风险。在更新生产环境之前，最好检查更新在测试环境中的执行情况。确保定期更新服务器控制面板。您还需要定期更新您的内容管理系统（如果您使用它），以及它可能拥有的任何插件。每个新版本都包含用于修复已知安全问题的安全补丁。

13.删除或关闭所有不必要的服务

通过减少所谓的攻击媒介来提高服务器安全性。这个网络安全术语指的是仅安装和维护保持服务运行所需的最低要求。仅启用服务器操作系统和已安装组件使用的网络端口。系统上的内容越少越好。Windows操作系统服务器应仅具有必需的操作系统组件。Linux操作系统服务器应进行最小化安装，仅安装必要的软件包。

由于大多数Linux发行版都会侦听Internet上的传入连接，因此请将防火墙配置为仅允许特定端口并拒绝所有其他不必要的通信。在您的系统上安装软件之前检查依赖项，以确保您没有添加任何您不需要的东西。此外，检查哪些依赖项在系统上自动启动，以及您是否需要它们。

14.隐藏服务器信息

旨在提供尽可能少的有关底层基础设施的信息。对您的服务器了解得越少越好。此外，最好隐藏服务器上安装的任何软件的版本号。版本指示器通常会显示确切的发布日期，这有助于黑客寻找弱点。

15.使用入侵检测系统

要检测未经授权的活动，请使用入侵检测系统(IDS)，例如Sophos，它会监控在您的服务器上运行的进程。您可以将其设置为检查日常操作、运行自动定期扫描或决定手动运行IDS。

16.档案审核

文件审计是另一种发现系统上不需要的更改的有效方法。此方法记录系统处于健康状态时的所有特征，并将其与当前状态进行比较。通过将同一系统的两个版本并排比较，您可以检测到所有不一致之处并追踪它们的来源。

17.服务审计

服务审计探索服务器上运行的服务、它们的协议以及它们通信所用的端口。了解这些细节有助于为系统中的攻击面配置有效的保护。

18.设置和维护防火墙

通过控制和限制对系统的访问来保护您的服务器。使用CSF（ConfigServer和Firewall）对于加强服务器的安全性至关重要。它只允许特定的重要连接并锁定对其他服务的访问。在初始服务器设置期间或更改服务器服务时设置防火墙。默认情况下，典型的服务器运行多个公共、私有和内部服务。

防火墙的作用是根据用户被授权的服务来允许、限制和过滤访问。配置防火墙以限制所有服务，但服务器必须提供的服务除外。

19.备份你的服务器

尽管前面提到的步骤旨在保护您的服务器数据，但备份系统以防万一出现问题至关重要。将关键数据的加密备份存储在异地或使用云数据备份和恢复解决方案。无论您有自动备份作业还是手动执行备份作业，请确保将此预防措施作为例行程序。此外，您应该执行全面的备份测试。这包括“健全性检查”，管理员或最终用户在其中验证数据恢复是否一致。

20.创建多服务器环境

隔离是您可以拥有的最好的服务器保护类型之一。完全分离需要拥有不与其他服务器共享任何资源的专用裸机服务器。尽管此方法提供了最高的安全性，但它也是最昂贵的。在数据中心隔离执行环境允许所谓的职责分离(SoD)并根据服务器实现的功能设置服务器配置。

将数据库服务器和Web应用程序服务器分开是一种标准的安全做法。单独的执行环境对于无法承受任何安全漏洞的大型企业特别有利。独立的数据库服务器保护敏感信息和系统文件免受设法获得管理帐户访问权限的黑客的攻击。此外，隔离让系统管理员可以单独配置Web应用程序安全性并最大限度地减少攻击面。

21.创建虚拟隔离环境

如果您负担不起或不需要与专用服务器组件完全隔离，您也可以选择隔离执行环境。这样做可以帮助您处理安全问题，同时确保其他数据不会受到损害。您可以在更易于设置的容器或VM虚拟化之间进行选择。UNIX操作系统中虚拟化环境的另一个选择是创建chroot监狱。Chroot将进程从中央操作系统的根目录中分离出来，并只允许它访问其目录树中的文件。这不是完全隔离，只能与其他安全措施一起使用。

阅读本文并遵循安全建议后，您应该对服务器安全性更有信心。其中许多安全措施应在初始服务器设置期间实施，而其他措施应作为持续或定期维护的一部分。如果您的服务器监控不是自动化的，请确保设计并遵循预定的安全检查。为了及时了解网络安全的最佳实践，我们建议您考虑网络安全认证，并在许多可用的播客上关注安全领域的行业领导者。