如何防止黑客入侵服务器

2017年5月，何防勒索病毒WannaCry横扫全球150多个国家，止黑英国国民健康服务体系（NHS）的客入电脑集体瘫痪，手术被迫取消，侵服急诊病人被转往其他医院。何防事后调查发现，止黑NHS的客入IT系统里还运行着早已停止支持的Windows XP，补丁根本无从谈起。侵服这不是何防一次高精尖的攻击，黑客只是止黑利用了一个微软早在3月就修复的漏洞——但NHS没打补丁。

这就是客入服务器被入侵的第一条铁律：绝大多数入侵，靠的侵服不是什么神秘零日漏洞，而是何防最基础的疏忽。你不需要成为黑客，止黑只要把该做的客入事做了，90%的攻击都会绕道而行。

拿补丁来说。很多运维怕更新出问题，总想“稳定优先”，结果一拖就是半年。可漏洞就是补丁和发布时间之间的缝隙里被人钻空子的。你不打补丁，等于把家门钥匙放在门口脚垫下面，还贴张纸条写着“请随手关门”。我见过一家电商公司，服务器被植入挖矿程序，CPU跑满100%，查了半天才发现是三个月前一个Apache漏洞的锅——官方补丁早就出了，他们嫌重启麻烦没装。

密码管理更是一言难尽。别笑，真有人拿“admin123”当root密码使。更常见的是把同一个密码用在服务器、邮箱、论坛上——只要一个地方泄露，黑客就拿着这串密码挨个试你的SSH、数据库、控制面板。这叫撞库攻击，成本几乎为零。我有个朋友的公司，就是因为某个老员工的个人账号在暗网上被卖了几美元，结果整个服务器被拖库，用户数据全裸奔。强密码加双因素认证，这两样东西不贵，但能挡掉95%的暴力破解和撞库。

再说说端口和防火墙。默认的22端口（SSH）是黑客最爱扫描的目标，每天都有无数脚本在互联网上扫来扫去。你把SSH端口改成非标准端口，比如22022，能立刻少掉一大半扫描流量。但这只是治标——真正的做法是禁用root直接登录，用普通用户+sudo提权，再配上密钥认证而不是密码认证。密钥那玩意儿，黑客拿不到你的私钥文件，光靠猜是猜不出来的。

日志监控这事，很多人懒得做，总觉得“出事了再看”。但服务器被入侵后，平均要200多天才会被发现——黑客早就在里面翻了个底朝天。你至少得开着登录日志和文件完整性监控，比如用auditd或者Tripwire。一旦有异常登录或者关键文件被改动，立刻告警。别嫌吵，宁可误报一百次，不能漏报一次。

最后说个没人爱听的：备份和恢复演练。你做了备份不代表万无一失，得定期拿备份去新环境里恢复一遍，确保真的能用。我见过不止一次，公司被勒索病毒加密了数据，结果发现备份磁带是坏的，或者备份软件配置有问题，根本没备上。那种绝望，比被入侵本身还难受。

说白了，防止黑客入侵不是什么高深武功。打补丁、强密码、锁端口、看日志、做备份——五件事，每件都不难，难的是坚持做、定期做、认真做。黑客也是挑软柿子捏的，你把这几样做到位，他们就会嫌你麻烦，转头去欺负别人了。