@onice
问：
1 、改 ssh 端口 2 、禁止 root 远程登录 3 、禁止除 xxx 用户的一切用户 su 4 、禁用密码使用密钥 5 、上 fail2ban 6 、使用 nginx 代理 7 、除 ssh 和服务端口其他端口全部关闭 8 、vm 自动快照

在做好上述步骤后 还会存在侵入和数据丢失风险吗

答：
1. 改了 ssh 端口没用，使用端口扫描器依旧能找到你设置的新端口
2. 禁止 root 远程登录。可以防御部分攻击，例如大部分僵尸木马，都是暴力破解 root 口令控制服务器，做到这点可防止这类木马。
3. 禁止除 xxx 用户的一切用户。可以提升攻击者的攻击门槛，但作为一个合格的攻击者，还有其他方法在系统中添加新用户。
4. 禁用密码使用密钥。可以防御针对 ssh 服务的暴力破解。但无法防御钓鱼和社会工程学。例如攻击者通过网站找到你，告诉你网站有问题，给你发包含木马的文档，如果你中招了，可以窃取你的私钥。
5. 上 fail2ban 。可以限制同一个 IP 的访问频率，从而防止 CC 攻击，但攻击者可能会使用分布式的 DDos ，这样就防不住了。
6 、使用 nginx 代理。这一步没啥意义。如果 web 应用出现问题，无论你用的是 httpd(apache)，tomcat ，还是 iis ，都防不住。
7. 除 ssh 和服务端口其他端口全部关闭。这个能提高攻击门槛吧。攻击者不会只从端口上找漏洞。
8. vm 自动快照。这个是可以保证数据完整性，但无法保证安全性。