网络信息及用户信息安全措施

去年冬天，我帮一个做独立博客的信息息安朋友排查服务器异常。日志里每隔三小时就出现一次来自罗马尼亚IP的及用登录尝试，用户名全是户信 admin，密码字典跑了八千多条。全措他的网络博客没做任何防护，后台地址还是信息息安默认的 /wp-admin。那天晚上我们加了fail2ban，及用改了端口，户信上了双因素认证。全措攻击日志瞬间归零。网络

这不是信息息安孤例。绝大多数安全事件都源于基础措施缺位——密码复用、及用未打补丁、户信权限过大、全措日志不查。下面按实际攻防场景拆解几层防护，每个都带具体操作。

第一层：身份认证别偷懒。 我见过太多人把数据库密码设成 root123，然后端口暴露在公网。密码长度至少12位，大小写数字符号混合，每个服务独立。别用记忆，用密码管理器。有条件就上硬件密钥或TOTP动态码。比如GitHub的SSH key加上passphrase，再开2FA，能挡掉99%的脚本小子。有个细节：很多路由器默认密码是 admin/admin，出厂后没人改，直接变成肉鸡。花两分钟改掉，比事后擦屁股划算。

第二层：网络传输要加密。 公共Wi-Fi下登录网银，如果网站还是HTTP，流量就是裸奔。HTTPS现在是底线，Let's Encrypt免费证书三行命令就能配。但别止步于此——内网服务之间也建议上mTLS。我自己的NAS和备份服务器之间用WireGuard隧道，所有同步流量走加密通道，哪怕在咖啡馆连Wi-Fi也不慌。另外，DNS查询也会泄露隐私，换成DoH或DoT，Cloudflare的1.1.1.1或者Quad9都行。

第三层：权限最小化。 给每个应用单独建系统用户，别用root跑Web服务。数据库账号只给必要的库和表权限，SELECT、INSERT分开授权。Linux下用 sudo 代替直接root登录，配置 /etc/sudoers 时用 visudo 防止语法错误锁死自己。容器里别用 --privileged，除非你清楚在干什么。Kubernetes的RBAC规则同理，默认拒绝，按需放行。

第四层：日志与监控。 没有日志的安全等于闭眼开车。至少记录登录失败、权限变更、敏感文件访问。用 journalctl 或 rsyslog 集中收集，再丢进 fail2ban 或 CrowdSec 做自动封禁。我习惯在每台机器上跑一个轻量级agent，把异常事件推到自建的ntfy频道。有一次凌晨三点收到“SSH暴力破解”告警，起来封了IP，顺便发现是隔壁邻居的物联网设备被黑了在扫全网。没有监控，这事就悄无声息地过去了。

第五层：数据备份与恢复。 勒索软件最爱加密没备份的硬盘。3-2-1原则依然有效：三份副本，两种介质，一份离线。我自己的方案是：本地NAS做每日增量，外接硬盘每周全量，再加一份加密后上传到Backblaze B2。恢复演练每季度做一次——真到用时才发现备份文件损坏或者密钥丢失，那才叫绝望。测试方法很简单：随便删个文件，从备份里拉回来，看能不能打开。

安全措施没有银弹。攻击者永远在找最薄弱的环节，而防御者只需要守住每一道门。上面这些操作，花一个周末就能全部落地。别等出事再后悔。现在就去改掉那个用了五年的密码，把默认端口换掉，打开防火墙日志。五分钟的麻烦，换的是整夜安睡。

—— 写于一个被暴力破解吵醒的凌晨，后来我学会了先封IP再睡觉。