给出新机上线的安全检查清单，按账号、网络、服务、监控四层列项。文中数据为区间参考，线路与资源会变，下单前建议用测试 IP 自行复测。
下面把判断依据、实测区间与落地动作拆开讲，涉及 安全基线、服务器加固、初始化安全 的关键点都给出了可验证的标准。
改默认口令、禁 root 直连、开密钥登录、按需建独立运维账号。
安全组默认拒绝、关无用端口、SSH 改端口降噪、数据库不对外。
卸载用不到的组件、关危险函数、日志服务启动、时区与 NTP 对齐。
接监控探针、配告警、加安全 Agent，新机不上监控等于裸奔。
基线检查结果存档，后续巡检对照快照，偏离项要有说明。
| 环节 | 关键动作 |
|---|---|
| 账号层 | 改默认口令、禁 root 直连、开密钥登录、按需建独立运维账号 |
| 网络层 | 安全组默认拒绝、关无用端口、SSH 改端口降噪、数据库不对外 |
| 服务层 | 卸载用不到的组件、关危险函数、日志服务启动、时区与 NTP 对齐 |
| 监控层 | 接监控探针、配告警、加安全 Agent，新机不上监控等于裸奔 |
Q：这些数据与标准多久需要重新核对一次？
线路、清洗资源和价格都会变，建议每季度复测一次；换机房或换供应商时必须重新测，不要沿用旧结论。
Q：按文中的步骤做完，还需要注意什么？
把处理过程和最终生效的参数记下来。同类问题再出现时直接对照记录，比重查一遍快得多。
Q：业务规模小，也要按这套标准来吗？
不需要一次到位。先把影响最大的两项做到位，剩余的随着业务增长逐步补齐，比一开始就追求完美更容易落地。
回到这篇的 5 个环节：账号层、网络层、服务层、监控层、留痕。建议把这次的数据存成基线，下次复测直接对比，判断趋势比看单点更可靠。
相关阅读：云安全组与VPC规划、网络分区：DMZ、内网与跳板的设计、双因素认证怎么落地：短信、OTP与硬件钥匙。
延伸阅读：端口暴露面收敛：从nmap扫描到防火墙、网络分区：DMZ、内网与跳板的设计、宝塔面板安全设置：10项必改默认值。
微信公众号
微信客服
