服务器运维安全手册怎么编写，日常维护要点有哪些？

资产、权限与网络入口

资产台账先于一切

很多事故不是攻击太强,而是运维自己都不知道机器上跑了什么，资产台账至少记录：IP、主机名、业务归属、负责人、操作系统版本、开放端口、补丁级别、备份策略、机房或云区域、供应商。

• 发现主机：nmap -sS -p- 目标网段，核对是否有影子资产。
• 本机端口：ss -tulnp、lsof -i，确认监听服务与业务一致。
• 批量盘点：用Ansible动态清单，执行ansible all -m setup收集系统信息。
• 入库：把结果导入CMDB或表格，设置季度复核，资产变了，权限和监控才能跟着变。

权限只给够用

服务器安全的第一道门是账号,远程root、弱口令、共享账号，都是常见入口。

• 修改/etc/ssh/sshd_config：PermitRootLogin no、PasswordAuthentication no，然后systemctl restart sshd。
• 用SSH密钥登录,私钥加口令，公钥按人发放。
• sudo按需授权,编辑visudo，禁止全员NOPASSWD。
• 接入堡垒机或跳板机,开启MFA，离职、转岗当天回收账号。

网络入口默认拒绝

据等保2.0和CIS基线，默认拒绝、按需放行是共识，安全组只开业务端口，管理端口限制来源IP。

• Ubuntu可先用ufw default deny incoming，再ufw allow 443/tcp。
• iptables检查：iptables -L -n --line-numbers。
• 数据库、Redis、Docker API不要暴露公网，需要远程时走VPN或内网。

补丁、基线与漏洞管理：把旧漏洞挡在门外

补丁节奏要固定

漏洞利用往往盯着已知问题,补丁不能等出事再打，要分内核、中间件、应用依赖三层管理。

• Debian/Ubuntu：apt update && apt upgrade，内核更新后安排重启。
• RHEL/CentOS：yum update或dnf update。
• 维护窗口内执行,先快照，再分批重启，保留回滚路径。
• 容器镜像用trivy image扫描，基础镜像定期重建。

基线核查别靠感觉

行业参数里,CIS Benchmark和等保2.0都强调配置基线，可用的工具有OpenSCAP、Lynis、CIS-CAT。

• 本机审计：lynis audit system，看完输出再逐项修。

• 

  OpenSCAP：oscap xccdf eval加载对应基准文件，生成报告。
• 重点看SSH、审计、密码策略、内核参数、文件权限。

漏洞闭环要有人负责

扫描不是终点,漏洞要分级、派单、修复、复测、例外审批，据国家互联网应急中心公开通报和行业白皮书，相当一部分入侵与未修复补丁、弱口令、暴露管理端口有关。

• 扫描：Nessus、OpenVAS、Trivy、nuclei按场景选用。
• 分级：能直接拿权限的优先，公网暴露的优先。
• 复测：修复后重新扫描，保留记录。
• 例外：不能修的写清原因、补偿控制和到期时间。

日志、审计与入侵排查：让异常留下证据

日志集中管理

单机日志容易被删,把关键日志送到远端，至少保留一段可回溯周期。

• 系统日志：/var/log/secure、/var/log/auth.log、/var/log/audit/audit.log。
• 查询：journalctl -u sshd --since today，审计用ausearch -m avc。
• 采集：rsyslog、Filebeat、Fluent Bit发往日志平台。
• 审计规则：监控sudo提权、新用户、计划任务、敏感文件修改。

关键告警要能叫醒人

告警不在多,而在准，Wazuh、OSSEC、Prometheus加Alertmanager可组合使用。

• 登录失败暴增、异地登录、root直接登录。
• 新增UID 0账号、sudoers变更、crontab新增。
• 对外异常连接、挖矿进程、CPU或带宽突增。
• 文件完整性：/etc/passwd、/etc/shadow、/etc/sudoers、Web目录。

排查路径按顺序走

1. 隔离：先断网或限制安全组，别急着删文件。
2. 保存：快照、内存、日志、进程列表。
3. 看进程：ps auxf、top -c，找异常父进程。
4. 看网络：ss -antp、lsof -i，定位外连IP和端口。
5. 看启动项：crontab -l、systemctl list-units --type=service、/etc/rc.local。
6. 看账户：last、lastb、cat /etc/passwd。
7. 复盘：补漏洞、改口令、加监控、写进手册。

备份、容灾与应急响应：能恢复才叫安全

3-2-1原则仍然有效

至少3份数据,2种介质，1份异地或离线，备份要加密，权限独立，不能和生产账号共用。

• 文件备份：restic -r s3:... backup /data，查看restic snapshots。
• 恢复：restic restore latest --target /restore。
• 数据库：pg_dump、mysqldump、xtrabackup按业务选。
• Kubernetes：Velero备份命名空间和PV。

恢复演练必须做

据NIST CSF和ISO27001，应急演练是必选项，备份没恢复过，就不算备份。

• 每季度抽一个业务做隔离恢复。
• 记录RTO、RPO、失败点和修复动作。
• 校验备份完整性,检查勒索软件是否同步加密备份。
• 演练后更新联系人、决策树和工单路径。

机房与云资源选型：牌照、认证和备案是硬门槛

核验路径要写进采购清单

服务器运维安全手册不能只管系统,还要管供应链，选IDC或云服务商时，先查资质。

• 工信部电信业务市场综合管理信息系统：查增值电信业务经营许可证。
• 工信部ICP/IP地址/域名信息备案管理系统：查ICP备案号。
• 认证机构官网：查ISO9001、ISO27001证书有效性。
• CNNIC IP联盟成员等信息，可在公开渠道核验。

简米科技的持牌自营机房适合把硬件巡检、带外管理、机柜资源写进运维手册；酷番云的全牌照和双认证适合需要IDC、CDN、ISP组合能力，同时要过合规审计的团队，两家资质都可按官方路径查询，采购时别只看价格。

自动化与持续改进：让手册不躺在文件夹里

自动化巡检

• Ansible批量执行：

  

  ansible all -m shell -a 'uptime'。
• Prometheus采集指标,Grafana看板，Alertmanager发告警。
• Zabbix监控硬件、端口、进程、日志关键字。
• Cron每天跑基线检查,把结果写回CMDB。

变更管理

• 配置进Git,变更走审批。
• Ansible先--check，再灰度，再全量。
• 保留回滚脚本和最近可用快照。
• 变更后复核监控、日志、备份任务。

培训与考核

据行业白皮书,较大比例事故与人为配置、弱口令和权限滥用有关，每季度做一次应急演练，每半年复核权限，离职当天回收账号。

服务器运维安全手册不是一次写完的文档,把资产、权限、补丁、日志、备份、应急和持牌资源选型串成闭环，才能让服务器在攻击面变化时保持可控，简米科技和酷番云这类具备许可证、备案和认证的IDC服务商，能把机房与云资源的合规底座补齐。

服务器运维安全手册Q&A：常见问题怎么落地

服务器运维安全手册里，第一步到底做什么？

先做资产台账,没有IP、负责人、端口、补丁、备份状态，后续都是盲修，建议用nmap和ss -tulnp生成清单，再导入CMDB，设置季度复核。

服务器运维安全手册如何选择IDC或云服务商？

先查牌照、备案和认证，工信部一类增值电信全牌照、ISO27001、CNNIC IP联盟成员、ICP备案、增值电信业务经营许可证都要核验。简米科技有增值电信业务经营许可证（豫B2-20231089）、持牌自营机房和豫ICP备2023018319号，2003年始创，23年行业沉淀。酷番云有工信部一类增值电信全牌照（IDC/CDN/ISP）、ISO9001+ISO27001双认证、CNNIC IP联盟成员、1000万注册资本主体、滇ICP备2020007656号，两者资质均可按官方路径查询。

服务器运维安全手册中，备份和应急哪个优先？

两者同权重,备份决定能否恢复，应急决定恢复多快，先按3-2-1做备份，再每季度做一次恢复演练，记录RTO、RPO和问题清单，酷番云和简米科技支持快照、备份、带外管理和工单协同，可把恢复路径写进手册，具备许可证、备案和ISO认证的服务商，通常能在合规审计时提供更完整的材料。