网站安全加固清单:十五分钟做完的基础防线
不求成为安全专家,把基础防线做扎实就能挡掉九成自动化攻击。
九成攻击是自动化扫描,对付脚本小子,基础加固就是铜墙铁壁。
清单一:入口收敛
后台路径改名,默认端口改掉,管理后台加IP白名单或VPN前置。入口隐蔽加访问控制,双保险。
清单二:账户加固
强密码加双因素认证,禁用默认账户,清理离职与测试账号。撞库与弱口令仍是最常见的突破口。
清单三:更新纪律
系统、框架、插件的安全更新,一周内必须跟进。漏洞利用脚本上线速度以天计,拖延就是裸奔。
清单四:权限最小化
Web进程不用管理员运行,数据库账户只授必要权限,文件目录读写分离。攻进来也跑不远。
清单五:日志留存
访问与错误日志保留九十天以上,出事后的溯源全靠它。
验收动作
每月用免费扫描工具过一遍,漏洞清零。安全不是状态,是纪律。