弱弱的问个事，需要给网站加防护吗？

[kieya00]

自己弄了个简单的小网站，在阿里云上部署的，然而并不懂什么安全之类的，需要加什么防护吗？如果需要，直接买阿里云的靠谱吗？

[ceet]

没必要的。就像我的网站 https://aiylqy.com 什么 ddos 啊什么 cc 啊 什么后台爆破啊。鸟都不鸟他。哈哈

[tyzrj766]

主机上的防护：改 SSH 登录端口；复杂 Root 密码；不嫌麻烦可以用 KEY 登录最安全，除非你丢了。
删掉 PHP 等参数页面，如果你用 LNMP 各种一键包一般都会留这个，改掉 phpMyAdmin 的默认路径（如果你在用的话）
到腾讯云后台关闭不必要的端口，留几个常用的就行，例如 22、80、443、3306、22、21 等，Win 还得开 3389。
腾讯云有免费的 10G 流量 CDN，可以套上隐藏服务器 IP，小网站够用了。
安装 Fail2ban，避免暴力爆破。
以上，基本能杜绝大部分情况，再高级的还得花钱或者靠学技术了。

[libook]

云厂商的防护不是万金油，基本上只能针对 DDoS 等攻击方式，绝大多数安全问题都是来自于程序的、系统用户和权限上的安全性缺陷。
服务尽可能跑在受限用户上，
SSH 尽可能禁用密码用秘钥登录，
程序上要尽量避免产生 SQL 注入漏洞(有的云厂商的负载均衡会带一个基本防护能力)，
CDN 和发短信邮件等一些花钱的地方要做好限流，
返回用户个人信息的接口要做好鉴权以防止有人大量盗取用户信息。

信息安全的事情不少，以上只是些最基本的。

[orzorzorzorz]

linux 主机建个账号，别什么事都用 root。数据库也一样，独立个账号出来。需要注意的就是权限。
还有就是别太高看自己的数据，我是觉着世界上百分之九十九的服务器都是没啥攻击价值的，你倒贴钱可能人家都不愿意动手...

[lneoi]

云锁 悬镜之类防护软件可以加一个，免费功能就够用。程序把已知的漏洞补上一般就行了，小站也不会被人盯着搞，有漏洞也不一定爱搞

[love]

没必要，只要做对最基本的事情，我的网站十几年了毫无问题

[lc7029]

1，通过堡垒机登录服务器。如果没有堡垒机，改掉 SSH 端口或者只对自己的 IP 放行也行。
2，服务器和客户中间加一层 CDN，可以 WAF 过滤掉某些奇怪的请求，也可以隐藏真实 IP。
3，修改配置禁止某些高危函数。
4，不管是系统还是数据库，尽量不要用 root 或 administrator/sa，最小权限。
其他想起来再写。

[cco]

WP 博客，每天都被几百人包里破解密码。。。装个插件完事。。

[weiruanniubi]

没必要。

[superrichman]

最基础的要做的：先把防火墙跑起来，别把什么都暴露在外面了。 然后把密码改复杂点。后面就多注意观察日志，看有谁攻击你

[kieya00]

@ceet 这。。。。真的行吗？我感觉我的网站一直处在高度危险中啊

[kieya00]

@tyzrj766 果然大佬，感谢感谢，正在研究中，非常感谢！

[kieya00]

@libook 感谢指点

[kieya00]

@lneoi 我之前公司官网就被人当肉机了，另外还有可能让别人利用服务器来挖矿吧，因为不懂，所以怕怕啊

[kieya00]

@lc7029 感谢大佬，研究中

[lc7029]

@kieya00 一般不用太在意，大多数人黑站是扫描，发现你的站点匹配不到某些规则就放过扫别人去了，除非真实和你有仇或者要搞你的人。

[ceet]

@kieya00 随便弄个服务器。只要程序漏洞 网站随便套一个 CDN。就没人拿你有办法。 因为破坏你的网站付出的绝对超过你部署的很多呗 没那么多傻逼的