新服务器上线前的安全加固，做与不做的事后成本差别巨大。这份基线清单分四组共二十项，照单执行即可完成一轮合格的自查。
## 系统组
第一项：系统与内核更新到当前稳定版本，已知漏洞的存量清零。第二项：登录方式改用密钥，密码登录按需关闭。第三项：创建独立的运维账号，特权操作走 sudo 精确授权。第四项：时区与时间同步配置到位，日志时间线可依赖。第五项：配置日志的轮转与留存策略，安全日志留存周期满足要求。
## 网络组
第六项：云防火墙按最小放行原则配置，仅开业务必需端口。第七项：管理端口限制来源地址，不对全网开放。第八项：系统防火墙与云侧规则对齐，双层不冲突。第九项：内网互通按业务分组放行，禁止全通。第十项：对外服务的版本信息收敛，减少特征暴露。
## 应用组
第十一项：应用服务以低权限账号运行，不用 root 起服务。第十二项：Web 服务的目录索引关闭，上传目录禁止脚本执行。第十三项：所有对外传输启用加密通道，证书配置正确并设置续期提醒。第十四项：管理后台路径收敛，叠加强口令与多因素认证。第十五项：部署入侵检测或封禁工具，爆破类攻击有自动响应。
## 数据组
第十六项：数据放在独立数据盘，与系统盘分离。第十七项：备份策略上线即配置，自动快照加逻辑备份双轨。第十八项：备份的有效性做一次恢复验证，不做无效备份。第十九项：数据库账号按应用最小授权，禁用默认名与弱口令。第二十项：制定应急联系与处置流程，出事知道第一步做什么。
二十项清单的执行顺序建议从系统组开始，网络组次之，应用与数据组随后，全部完成后再对外提供服务。顺云控制台的防火墙规则与快照功能覆盖其中数项，其余落在系统与应用配置层，一台服务器完整走完约半天，这份时间投入是所有安全支出里回报最确定的。