A security assistant with guar…

# Ubuntu 22.04 Nginx 服务器安全加固清单

一、防暴力破解

SSH 加固

• 禁用 root 直接登录：/etc/ssh/sshd_config 设置 PermitRootLogin no
• 禁用密码登录，改用密钥：PasswordAuthentication no
• 修改默认端口（如改为 22 以外的端口，可减少扫描骚扰，但不能替代认证加固）
• 限制登录用户：AllowUsers youruser

安装 fail2ban 自动封禁

• sudo apt install fail2ban
• 配置 /etc/fail2ban/jail.local，启用 sshd 和 nginx（可自定义 filter 监控 Nginx 日志中的 401/403 高频请求）
• 常用检查：sudo fail2ban-client status sshd

二、端口暴露管控

• 用 sudo ss -tlnp 或 sudo netstat -tlnp 列出所有监听端口，逐项确认必要性
• 内网服务器建议启用 UFW：仅放行 Nginx（80/443）和必要管理端口，并对 SSH 限制来源网段
• 数据库、Redis、缓存等组件切勿监听 0.0.0.0，绑定 127.0.0.1 或内网地址
• 修改后用 sudo ufw status verbose 复核规则

三、Nginx 自身加固

• 隐藏版本信息：server_tokens off;
• 限制请求体大小：client_max_body_size 设合理值
• 关闭不用的模块和虚拟主机，配置目录遍历防护（autoindex off）
• 敏感路径（如 /etc/nginx、备份文件）确保不被 Web 目录暴露
• 建议配置 HTTPS（内网可用自建 CA 签发证书）

四、系统层加固

• sudo apt update && sudo apt upgrade 定期打补丁，开启 unattended-upgrades 自动安全更新
• 非 root 用户运行服务，Nginx worker 进程使用低权限用户
• 检查 SUID 文件：find / -perm -4000 -type f 2>/dev/null
• 关闭不用的系统服务：systemctl list-unit-files --state=enabled

五、日志与监控

• 定期查看：/var/log/nginx/access.log、/var/log/auth.log
• 统计高频失败 IP：sudo grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head
• 有条件可接入集中式日志（如内网 ELK/Loki），配置异常告警

六、常用巡检命令速查

• 登录失败统计：sudo lastb | head -20
• 当前连接：sudo ss -tn state established
• 定时任务排查：crontab -l 及 /etc/cron.*
• 进程排查：ps auxf | less
• 系统登录记录：last -20

建议落地顺序：先收紧端口暴露 → SSH 密钥化 → 部署 fail2ban → 补丁与日志巡检常态化，最后做一次同网段渗透式自测验证规则生效。