一台长期挂在公网上的机器，默认假设应该是"扫描器每天都在敲门"。很多人配安全的思路是东打一个补丁、西装一个软件，最后说不清每一项在防什么。更稳妥的方式是把安全拆成三条顺序递进的防线：先把已知入口堵住，再盯住进进出出的进程行为，最后保证真出了事还能退回到一个已知良好的状态。
本文以 2 核 2G / 3M 固定带宽不限流量 / 40G ESSD Entry 云盘 的经济型 e 实例为基线，把这三道防线各自解决什么问题、之间如何配合、日常要盯哪些指标逐一拆开。文中操作路径都是普适做法，防护额度与权益以活动页说明为准。
一、第一道：漏洞入口与配置基线
第一道防线要回答的问题是：已知的攻击面有没有被漏掉。 它分两类动作。
系统与软件补丁。 操作系统内核、运行时、Web 服务、数据库组件都会陆续披露安全漏洞，多数入侵案例走的是"公开漏洞 + 自动化扫描"这条路径。补丁动作不是想起来才打一次，而是周期性扫描、发现、修复、复测的闭环。活动页随实例提供的防护额度包含漏洞修复与风险配置检查两类次数，前者对应系统与软件的已知漏洞修补，后者对应机器自身配置是否合规。
配置基线体检。 漏洞是"软件的问题"，配置是"人的问题"，后者更常被忽略。体检重点通常包括：是否存在弱口令或默认口令、有没有把数据库/缓存/管理后台端口直接开放到公网、SSH 是否允许密码登录、是否有长期不用却没关的账号。这些项不会立刻出事，但一旦被扫描器定位，就是最省力的入口。
这一层自己需要配合完成的收口动作：
- 安全组最小化：只放 22（或改后的 SSH 端口）、80、443，数据库与缓存一律不对公网。
- SSH 加固：密钥登录、禁用密码登录、禁止 root 直登、配置失败次数限制。
- 关闭不必要的服务：装好机器先列一遍监听端口，用不到的服务直接停掉。
二、第二道：运行时实时查杀
第二道防线回答的问题是：漏洞没堵住、或者有新手法进来之后，进程层面的异常能不能被及时发现。
长期在线的机器最怕两类植入：一类是木马与后门，给入侵者留一个随时能回来的通道；另一类是挖矿程序，悄悄吃掉 CPU 与内存，表面上站点还能访问，实际资源已经被占走。这类行为的特征往往不在端口层面，而在进程层面：陌生可执行文件、异常计划任务、可疑外联连接、占用算力的未知进程。
实时防护的工作方式是在主机侧持续监控运行中的进程与文件变化，对木马、挖矿、后门程序做查杀，并在发现异常进程时及时告警。它和第一道防线的分工要分清：
| 对比项 | 第一道：漏洞与配置 | 第二道：运行时查杀 |
|---|---|---|
| 关注点 | 已知漏洞、不合规配置 | 已进入主机后的恶意行为 |
| 触发时机 | 周期性扫描 + 补丁修复 | 进程与文件变化发生时实时介入 |
| 典型动作 | 打补丁、收敛端口、改口令 | 查杀进程、隔离文件、推送告警 |
| 漏掉的后果 | 入口长期敞开 | 异常行为发现滞后，资源被占用 |
两道防线缺一不可：只堵入口不看行为，新手法进来后毫无察觉；只做实时查杀不补漏洞，等于门口天天漏风，查杀引擎再忙也补不过来。
三、第三道：文件备份与时间点还原
前两道都是"不让人进来"，第三道防线回答的问题是：真出事了，数据能不能救回来。
覆盖的典型情形包括：文件被误删、业务数据被加密勒索、机器宕机或系统盘损坏。文件备份会为重要数据自动留存副本，并保留多个可回溯的时间点；需要恢复时，可以挑选出事前的一个时间点，把对应目录或文件还原回去。
设计备份时有几个容易踩的坑：
- 备份副本不要只放在同一块系统盘上。 系统盘损坏或被加密时，同盘备份一起失效；重要副本应放到独立存储上。
- 先定义恢复目标，再定备份频率。 想清楚三类场景各自能容忍丢多久的数据：误删文件、数据库被误改、整机重装。RPO（能容忍丢多久数据）决定备份间隔，RTO（多久内恢复）决定备份与恢复流程是否够简单。
- 备份必须演练。 没有做过一次真实恢复的备份只能算心理安慰。定期从备份里拉起一个临时环境，验证数据可读、站点可访问，确认恢复流程在需要的时间内跑得通。
- 数据库备份与文件备份分开考虑。 应用文件走文件备份；数据库在单机阶段至少要有定时转储加日志增量，业务变重后按拆分路径迁到云数据库托管。
四、三道防线怎么配合
把三层串起来，安全运营的日常节奏大致是这样：
| 防线 | 解决的问题 | 节奏 | 需要盯住的指标 |
|---|---|---|---|
| 漏洞与配置基线 | 已知入口与不合规配置 | 周期性扫描、补丁后复测 | 未修复漏洞项、异常开放端口、弱口令数量 |
| 实时病毒防护 | 木马、挖矿、后门与异常进程 | 7×24 实时监控 | 告警条数、被查杀进程、异常外联 |
| 文件备份 | 误删、加密、宕机后的恢复 | 按策略自动备份，定期恢复演练 | 备份成功率、可恢复时间点数量、上次演练日期 |
三层的顺序不能反：没有备份兜底，前两道一旦被突破就是彻底丢失；只靠备份不做入口收敛，则是不断给恢复系统制造事故。
五、边界：主机防护不等于架构容灾
需要说清楚的是，这三道防线解决的是单机层面的安全问题，并不能替代架构层面的高可用。如果业务出现这些信号——数据库不能只靠单机文件备份、接口需要多副本冗余、核心数据要求多可用区容灾——正确动作是把数据库拆到云数据库托管、把静态资源外置到对象存储，再按需提升实例规格，而不是在 2 核 2G 上继续叠加安全参数。
活动页与配置说明在此：https://www.aliyun.com/daily-act/ecs/99program?source=5176.29345612&userCode=aptjpq1x。具体配置、防护额度与权益以页面规则为准。
