云服务器安全基线巡检：从账号、端口到日志的日常检查清单

一、先确认账号入口是否可控

服务器被入侵的常见入口，往往不是复杂漏洞，而是弱口令、长期不用的账号、开放过多的远程登录入口。巡检时应先确认 root 或 Administrator 是否允许直接远程登录，是否存在离职人员账号、测试账号、默认账号，以及 sudo 或管理员组中是否混入不需要高权限的用户。

• 为运维账号启用独立身份，不多人共用一个账号。
• 关闭无用账号，保留必要账号的登录记录。
• SSH 优先使用密钥登录，并限制密码登录范围。

二、端口开放要和业务对应

巡检端口时，不应只看防火墙是否开启，而要核对端口和业务是否匹配。例如网站只需要 80、443，对外数据库端口、Redis 端口、面板端口就不应直接暴露到公网。临时开放的调试端口也要有关闭日期，避免长期遗留。

三、补丁和组件版本要分层检查

系统补丁、Web 服务、PHP 或 Java 运行环境、数据库、中间件、建站程序插件，都应该分别检查。生产环境不一定追求第一时间升级到最新版本，但必须知道当前版本是否存在已公开漏洞，并准备可回滚的升级窗口。

1. 先确认系统安全更新状态。
2. 再核对 Nginx、Apache、数据库和运行时版本。
3. 最后检查网站程序、主题、插件和第三方脚本。

四、日志必须能支撑追踪

没有日志，安全事件发生后只能靠猜。建议保留登录日志、Web 访问日志、错误日志、面板操作日志和数据库慢查询日志，并至少保证关键日志不会因磁盘满或轮转配置错误而丢失。对于登录失败次数异常、404 爆破、后台路径扫描等行为，应建立简单告警。