设置服务器或基础设施安全的常见错误
在设置服务器或基础设施安全时，常见的错误往往涉及配置疏忽、流程缺失或认知盲区。以下是对这些常见问题的结构化整理，并附具体示例和解决方案：
admin/admin）或弱密码（如 123456）。root 权限，或允许服务账户执行无关操作。sudo 提权接管系统。-**强制密码策略**：要求密码长度≥12位，包含大小写字母、数字和符号。 -**最小权限原则**：通过 `sudoers` 文件限制命令白名单，禁用 `root` 远程登录。 -**启用MFA**：使用 Google Authenticator 或硬件密钥（如 YubiKey）加固登录流程。-**自动化更新**：配置 `unattended-upgrades`（Linux）或 WSUS（Windows）定期安装补丁。 -**漏洞扫描工具**：使用 Nessus、OpenVAS 定期检测已知漏洞。 -**生命周期管理**：建立软件淘汰清单，强制升级到期版本。0.0.0.0/0 访问敏感服务。-**最小化暴露**：使用 VPN 或跳板机访问管理端口，关闭非必要服务。 -**分段网络**：划分 DMZ、应用层和数据库层，通过 ACL 控制流量。 -**云安全组优化**：仅允许特定 IP 或 VPC 内资源访问关键端口。-**ELK/SIEM 集成**：使用 Elasticsearch、Splunk 实现日志聚合与可视化。 -**告警规则**：配置 Prometheus + alertmanager 检测异常流量或错误激增。 -**长期存储**：将日志归档至 S3 或 Glacier，满足合规保留要求（如 GDPR 的 6 个月）。-**3-2-1 规则**：保留 3 份备份，2 种介质（如磁盘+磁带），1 份离线存储。 -**加密与版本控制**：使用 AES-256 加密备份，启用 S3 版本控制防覆盖。 -**定期演练**：每季度模拟恢复流程，确保 RTO（恢复时间目标）达标。mod_status）。mod_status 泄露服务器状态信息。-**基线硬化工具**：使用 CIS-CAT、Ansible 剧本自动化安全配置。 -**SSL Labs 测试**：通过 Qualys SSL Test 检查证书与协议安全性。 -**删除冗余组件**：运行 `apt purge` 或 `yum remove` 清理无用包。1. [ ] 禁用默认账户，启用 MFA 2. [ ] 部署自动化补丁管理工具 3. [ ] 限制公网暴露端口，启用 VPC 分段 4. [ ] 配置集中日志与实时告警 5. [ ] 实施 3-2-1 备份策略并测试恢复 6. [ ] 运行 CIS 基线硬化与漏洞扫描 通过系统性规避上述错误，可显著降低基础设施被攻击的概率。建议结合威胁建模（如 STRIDE）和渗透测试持续验证防护有效性。