本文由 阿里云国际站代理商『翼龙云/TG @Yilongcloud 撰写』如需转载请注明！
在使用阿里云国际版轻量应用服务器（Simple Application Server）时，用户常会收到云安全中心（Security Center）关于“异地登录”或“大规模暴力破解攻击”的告警邮件。收到此类告警无需恐慌，本文将提供从告警排查到系统加固的实操指南。
一、 核心成因分析
阿里云国际版服务器拥有独立公网 IP，且默认开放 SSH（22）或 RDP（3389）端口，易被全球互联网扫描器锁定。1. 自动化扫描：僵尸网络会持续扫描公网 IP 的默认端口并尝试弱口令登录。2. 异地登录判定：云安全中心会记录常用登录 IP。若使用 VPN、加速器或团队成员在异地登录，系统即会触发告警。
3.真实入侵风险：若告警 IP 为陌生海外节点、登录账号为 root / 管理员，代表黑客正在尝试入侵，需立刻处置。
二、 实操方案一：异地登录告警自查
收到告警后，需首要确认登录行为是否为授权操作。
前置条件：
拥有阿里云国际版管理控制台访问权限。
服务器已运行云安全中心插件（基础版）。
步骤 1：查看完整告警日志
1. 登录阿里云国际官网，进入 Simple Application Server 轻量控制台；
2. 点击目标实例卡片进入详情页，切换至「安全防护」页签；
3. 分别打开「非常用登录地登录」「暴力破解」分类，查看告警详情：攻击源 IP、登录时间、登录账号、登录是否成功。
步骤 2：区分误报 / 真实入侵
1. 核对自身公网 IP：访问 ip.me/cip.cc 查看本地出口 IP；
2. 匹配规则：
1. 告警 IP = 当前 VPN / 办公宽带 IP、登录时间为本人操作 → 误报，点击「标记为误报」即可；
2. 告警 IP 完全陌生、登录账号为 root/Administrator、存在多次失败登录记录 → 高风险入侵，立即执行下方应急处置。
【高危告警应急急救流程（陌生未知 IP 登录）】
1. 控制台一键重置服务器登录密码，设置 16 位高强度混合密码（大小写 + 数字 + 特殊符号）；
2. 在轻量防火墙添加规则，临时封禁告警中的恶意攻击 IP；
3. 登录服务器查看登录日志：Linux 执行last -i，Windows 查看系统安全事件，确认是否存在非法登录；
4. 服务器创建快照留存取证，使用云安全中心查杀恶意程序、挖矿后门；
5. 同步完成全文所有加固方案，杜绝二次入侵。
三、 实操方案二：基础防御 —— 修改远程默认端口（Linux+Windows 双版本）
核心安全原则：先放行新端口，再修改服务器配置，测试连通后删除默认 22/3389 端口，彻底避免远程锁机。
（一）Linux 系统（Ubuntu 26.04/Debian 13）修改 SSH 端口
步骤 1：控制台防火墙提前放行新端口（必做第一步）
1. 实例详情页进入「防火墙」；
2. 点击添加规则，协议 TCP，端口填写自定义高位端口（推荐 1024-65535，示例 28822）；
3. 源 IP 暂时填写 0.0.0.0/0，保存规则，保留原有 22 端口不删除。
步骤 2：服务器内部系统防火墙放行端口（Ubuntu/Debian 默认 ufw） 远程连接服务器执行命令：
plaintext
sudo ufw allow 28822/tcp
sudo ufw reload
步骤 3：修改 SSH 服务配置
1. 编辑配置文件：sudo nano /etc/ssh/sshd_config；
2. 找到#Port 22，取消注释，修改为Port 28822；
3. Ctrl+O 保存、Ctrl+X 退出，重启 SSH 服务：sudo systemctl restart ssh。
步骤 4：连通测试 + 清理旧端口 使用新端口登录服务器测试：ssh -p 28822 root@服务器公网IP，确认正常连接后，返回控制台防火墙删除 TCP 22 原有规则。
（二）Windows 系统修改 RDP 3389 远程端口补充
1. 控制台防火墙放行自定义 TCP 端口（如 38839）；
2. 服务器注册表修改 RDP 端口号，系统防火墙放行新端口；
3. 测试远程桌面连接正常后，关闭 3389 端口防火墙规则。
四、 进阶加固
进阶加固方案 1：IP 白名单精准访问控制（固定办公 IP 用户首选）
仅信任 IP 可访问 SSH/RDP 远程端口，拦截全网扫描，跨境业务满足 GDPR 合规要求。
1. 轻量防火墙添加放行规则：协议 TCP、自定义 SSH 端口，源 IP 填写办公 IP（格式必须为110.xx.xx.xx/32 CIDR 格式）；
2. 新增兜底拒绝规则：TCP 全部端口，源 IP 0.0.0.0/0，优先级低于放行规则；
3. 多条办公 IP 重复添加放行规则，动态宽带可扩大 IP 段掩码（/29）预留浮动空间。
进阶加固方案 2：迁移至 SSH 密钥对验证
密钥对验证可有效杜绝密码暴力破解风险。
操作路径
· 控制台左侧菜单「密钥对」→「创建密钥对」，命名后点击确认；
· 重点提示：系统仅提供 1 次.pem 私钥下载机会，丢失无法恢复，妥善加密保存；
· 密钥对列表点击「绑定实例」，选择目标轻量服务器，重启实例生效；
· 测试私钥登录连通正常后，禁用密码登录：编辑 sshd_config 设置PasswordAuthentication no，重启 SSH；
· 配套优化：Linux 设置PermitRootLogin no，禁止 root 账号直接 SSH 登录，新建普通运维账号管理服务器。
五、 安全防护手段对比表
防护手段 |
防御维度 |
实施难度 |
适用场景 & 推荐等级 |
修改 SSH/RDP 默认端口 |
规避自动化批量扫描 |
低 |
所有实例必备 |
防火墙 IP 白名单 + 兜底拒绝规则 |
仅信任 IP 访问远程端口 |
中 |
固定办公 IP 企业，极高推荐；欧盟合规强制要求 |
SSH 密钥对登录 + 禁用密码 |
从根源杜绝密码暴力破解 |
中 |
生产业务核心推荐 |
fail2ban 自动拉黑攻击 IP |
实时拦截持续爆破源 IP |
低 |
Linux 服务器必备 |
云安全中心基础版 |
免费告警、漏洞扫描、WebShell 查杀 |
极低 |
实例默认开启，必开 |
六、 常见问题 (FAQ)
1. 阿里云国际版轻量服务器适合哪些业务场景，选型时应关注什么？ 答：适合个人开发者博客、中小型外贸独立站、开发测试环境及轻量级 SaaS 应用。选型时应关注地域选择（靠近目标用户）、流量包额度（超额按量计费）以及镜像类型（应用镜像或纯净系统镜像）。
2. 阿里云国际版轻量服务器收到异地登录提醒是账号被盗了吗？ 答：不一定。多源于使用 VPN 导致 IP 切换或团队成员异地登录。判定标准：检查告警中的“登录用户名”，若为 root 且 IP 完全陌生则风险极高；若为本人操作时间且 IP 与代理节点吻合，通常为误报。
3. 修改了 SSH 端口后，为什么还是会收到暴力破解告警？ 答：扫描器会探测全端口。修改端口能过滤低级扫描，但无法完全隐藏。建议配合 SSH 密钥对使用，并在防火墙中设置“仅允许特定 IP 段”访问。
