有天早上一个客户的服务器登录不上，网站首页被换成了一张黑底红字的图片。查日志，攻击是从一个弱口令的远程桌面进来的，时间在凌晨两点，前后不到二十分钟。对方没拿数据，只是挂了张图，但那两天客户的脸一直是黑的。
被入侵的门多半是自己开的
远程桌面直接暴露在公网、密码是公司名加123、数据库用 root 空密码，这三样占了我见过的事故里一大半。改起来都不难：远程桌面换端口或者走跳板机，密码强制复杂并定期改，数据库只允许内网访问，别图省事。
补丁要有人盯
很多漏洞在公布之后几小时就有扫描器在全网跑，而你还在用两年前的组件版本。做法是每月固定一天做补丁检查，重点看对外暴露的服务。这件事不需要多高的技术，需要的是有人负责、有记录可查，出了问题能说清做了什么。
日志要留，而且要留够时间
出了事，最想知道的是谁、从哪进来、做了什么。日志默认只留几天，等发现问题时早就滚没了。把登录日志、操作日志集中存到另一台机器，至少留半年，这是事后追溯的唯一依靠，也是跟客户解释时的底气。
如果业务涉及个人信息，还得看合规要求。等级保护测评对日志、账号、边界防护都有明确条款，平时不做，测评前突击整改，花的钱和精力是平时的好几倍，而且很多问题突击也补不上，只能眼睁睁看着。
太原不少企业是给大厂做配套的，甲方的安全审核一年比一年细。与其被审核推着走，不如自己先做一轮基线检查：账号、端口、补丁、日志、备份，五项过一遍，大部分问题都能提前发现。我们做过一轮基线检查，十台机器里有七台还开着默认端口和初始密码。
服务器安全的常见疑问
一定要做等保吗
看行业和客户要求，医疗、教育、政府相关一般需要，给大厂做配套的也常被要求提供测评报告。
小公司有必要吗
有。被入侵一次的清理成本和信誉损失，远高于做基础防护的钱，先从账号和端口做起。
改动会不会影响业务
选在业务低峰做，先做备份和回滚预案，端口和密码的调整影响最小，可以最先改。
总结：安全这件事，平时看不见，出事就是大事。门关好、补丁跟上、日志留住，成本不高，挡住的是最要命的那一类风险。