① 项目背景
稀土大厦一家做SaaS的小公司，云上跑着三台Ubuntu 22.04服务器。技术合伙人半夜看了一眼auth.log，冷汗下来了：一个晚上两万多条SSH爆破记录，root密码就是姓名拼音加123，字典里有现成的。他当时把密码改复杂就算处理完了，找到我们是因为一周后日志还是每天几千条，他知道这么下去迟早中招。
② 咨询设计
爆破防住靠三件套：第一，全面关闭密码登录，只留ED25519密钥认证，私钥放运维的硬件钥匙里，员工用密码管理器托管；第二，fail2ban部署，五分钟内失败三次封IP一小时，配合云安全组的API把封禁名单同步成IPSet规则；第三，管理端口不再暴露公网，三台服务器统一走一台堡垒机跳转，安全组只放行办公室固定出口IP和堡垒机。很多同行觉得改个SSH端口就能躲扫描，实际上市面上扫描器早就全端口扫了，改端口只是把日志噪音变小，防不了真正的定向攻击。
③ 蜜罐部署
在封禁之外我们加了一层主动防御：在一台独立虚拟机上部署Cowrie中交互蜜罐，监听伪装成22端口SSH服务，真业务端口全部内移。蜜罐提供假的文件系统和低权限假账号，攻击者连进来折腾多久都碰不到真实数据，而他的IP、爆破字典、登录后的每一条命令都会被完整记录。蜜罐日志每天汇总，命中过的攻击IP自动加入全网封禁名单——等于用攻击者的扫描行为反过来喂养防御规则。上线第一周蜜罐就捕获了470个独立来源IP，其中31个在尝试下载挖矿脚本。
④ 安全补丁
顺手做了一次基础排查：三台服务器上有两台开着Docker远程API且绑定0.0.0.0，这是比SSH爆破更容易被打穿的洞，改为只监听127.0.0.1；云监控Agent的AK/SK权限过大，按最小权限重建；数据库账号做了弱口令筛查，一个测试账号密码是test123，当场禁用。给团队定了两条铁律：新开的任何云主机，安全组默认只放行443和跳板来源；密钥轮换三个月一次，写进日历。
⑤ 验收交付
加固完成后连续30天观察：真服务器的auth.log爆破记录从日均两万降到零——不是攻击者变善良了，是他们全被引到蜜罐上去了。团队收到了一份《SSH加固与应急手册》：密钥丢失怎么办、误封自己IP怎么办、蜜罐告警怎么分级响应。演练了一次完整的密钥轮换流程，25分钟走完全部环节。
⑥ 售后承诺
互联网公司被扫是常态，被扫不可怕，可怕的是日志没人看。我们提供每月一次的安全巡检，紧急事件2小时响应，大年三十随叫随到：17704868686，终身免费咨询。新业务上线前把端口清单发我们过一遍，比出事后救火便宜得多。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）