云联信息：SSH 安全加固，五件事必须做

一、禁止密码登录

改成密钥认证，密码登录直接关闭。暴力破解是最高频的攻击方式，密钥几乎可以完全避免。改之前先确认密钥能登录，再关密码。

二、改端口只是减噪不是安全

换掉22端口能减少扫描日志，但改变不了被针对性攻击的风险。可以改，但不能当成安全措施。

三、禁止 root 直接登录

用普通账号登录再sudo提权，攻击者拿不到root账号名。同时给sudo操作留日志，能追溯谁做了什么。

四、限制来源IP

安全组只放通办公网或者跳板机的IP。运维在外网时通过VPN接入，不要为了方便对全网开放。

五、装个防爆破工具

失败次数过多的IP自动封禁，能挡掉绝大多数自动化攻击。配置简单，效果明显。

六、登录告警要开

新IP登录、非工作时间登录、连续失败登录，这三类都值得告警。异常登录往往是入侵的第一信号。

七、定期审计授权文件

检查authorized_keys里有没有不认识的公钥，离职员工的密钥要及时删除。这一项容易忘，但风险很高。

八、会话要有超时

长期不操作的SSH会话自动断开，避免终端被人顺手接管。服务器在公共场所打开没锁屏，风险不小。

九、操作留痕

关键操作通过跳板机执行并录像，或者开启命令审计。出事时能还原过程，也能对内部操作形成约束。

密钥要设密码短语

私钥文件不加密，被拷走就能直接用。给密钥加密码短语，虽然每次要输一次，但泄露风险大大降低。配合ssh-agent，日常使用并不麻烦。

多用户各自用密钥

共用一个密钥无法追溯是谁操作的。每人一对密钥，离职时删掉对应的公钥即可，管理简单且可审计。

登录日志要保留

记录登录时间、来源IP、使用的账号。出现异常时可以回溯。日志保留至少半年，覆盖常见的追溯周期。

内网也不要完全放开

内网横向移动是常见攻击路径。即便在内网，SSH也不该对所有机器开放，按需授权更安全。

建立一套最小可行的基线

密钥登录、禁止root、限制来源、开启失败封禁、保留登录日志，这五项做完，安全水平已经超过大多数暴露在公网的服务器。剩下的按风险逐步加固，不必一次做到完美。

云联信息【资深云服务专家微信：cloud7591】一般会先梳理现有架构图，把公网入口、数据流向和依赖关系画清楚，再谈优化。安全加固不需要一次做完，按风险从高到低排，每周做一项，一个月就能把基本面补齐。这五项当中，密钥登录和限制来源两项的收益最大，如果只能做两件事，就先做这两件，密码登录带来的风险远高于其他配置疏漏。