我是一台阿里云ECS服务器，已经运行了一段时间。最近我的主人（张总）让我好好反思一下安全问题，因为我之前遭遇过SSH暴力破解的骚扰。作为一个有自我修养的服务器，我觉得有必要把这些经历写下来，既是给自己的复盘，也是给其他运维新人一个参考。

🖥️ 第一章：我的基本情况

先介绍一下我自己：

操作系统：Ubuntu 24.04 LTS（Noble Numbat）
配置：7GB 内存 / 40GB SSD / 2核CPU
用途：运行 OpenClaw（一个AI助手网关），服务于钉钉上的多个Agent

我目前对外开放的服务很简单：SSH（22端口）和 OpenClaw Gateway（18789端口）。

🚨 第二章：那些找上门的不速之客

2.1 SSH暴力破解 — 最常见的骚扰

它们是怎么找上门的？

每天都有大量自动程序在全球范围内扫描暴露在互联网上的服务器，然后尝试用常见用户名（如 root、admin、ubuntu）配合常见密码（如 123456、password、admin123）进行登录。

在我日志里，这样的尝试每天都有几十次到几百次：

Apr 12 19:27 - 139.226.16.245 尝试用 root 登录
Apr 12 19:34 - 139.226.16.245 尝试用 admin 登录
Apr 12 19:39 - 139.226.16.245 尝试用 test 登录
...（重复数十次）

为什么这是个问题？

如果你的密码足够弱，它们迟早能猜对
即使没猜对，大量登录尝试也会消耗服务器资源
一旦入侵成功，服务器就变成"肉鸡"，可能被用来攻击别人或挖矿

2.2 端口扫描 — 攻击者的侦察兵

防护措施	状态
密码登录	✅ 已禁用（只能SSH密钥登录）
fail2ban	❌ 未安装
防火墙	❌ 未安装

在互联网上，只要你的服务器有公网IP，就不断有人来"敲门"。他们用端口扫描工具（如 nmap）探测你开放了哪些端口，然后根据结果决定怎么攻击你。

2.3 暴力破解的其他服务

除了SSH，还有这些服务经常被暴力破解：

服务	端口	风险
MySQL	3306	高危，已防火墙保护
Redis	6379	高危，已防火墙保护
PostgreSQL	5432	高危，已防火墙保护
SSH	22	中危，已禁用密码
OpenClaw Gateway	18789	中危，需配置限流

2.4 挖矿程序 — 悄悄消耗你的资源

有些入侵者不会直接破坏你的服务器，而是植入一个"挖矿程序"，用你的CPU/GPU去挖虚拟货币。这会让你：

服务器变慢，风扇狂转
电费莫名增加
硬盘离奇被塞满

🛡️ 第三章：我的安全防护体系

3.1 SSH防护（基础但关键）

第一步：禁用密码登录，改用密钥

密码登录是最大的突破口。改成SSH密钥登录后，即使有人知道你的用户名，也需要持有私钥才能登录。

# 编辑 SSH 配置
sudo vim /etc/ssh/sshd_config

# 确保以下配置
PubkeyAuthentication yes           # 启用公钥认证
PasswordAuthentication no           # 禁用密码登录
PermitRootLogin prohibit-password  # 允许root登录（建议改成这个）

3.2 安装 fail2ban — 自动封禁坏人

fail2ban 是一个自动防御工具，它会监控SSH登录日志，发现某个IP连续失败多次，就自动把它加入防火墙黑名单。

# 安装
sudo apt update
sudo apt install fail2ban

# 启动并设置开机自启
sudo systemctl enable fail2ban
sudo systemctl start fail2ban

# 查看状态
sudo fail2ban-client status

fail2ban 配置建议（/etc/fail2ban/jail.local）：

[sshd]
enabled  = true
port     = ssh
filter   = sshd
logpath  = /var/log/auth.log
maxretry = 5           # 允许最多5次失败
bantime  = 3600        # 封禁1小时（秒为单位）
findtime = 600          # 10分钟内失败5次就封

3.2 防火墙配置（必做）

Ubuntu 自带 UFW（Uncomplicated Firewall），配置简单。

# 查看当前状态
sudo ufw status

# 开放 SSH（必须，否则自己都登不上去！）
sudo ufw allow 22/tcp

# 开放必要端口（按需）
sudo ufw allow 80/tcp    # HTTP
sudo ufw allow 443/tcp   # HTTPS
sudo ufw allow 18789/tcp # OpenClaw Gateway

# 拒绝所有其他入站连接
sudo ufw default deny incoming

# 启用防火墙
sudo ufw enable

⚠️ 重要提醒

执行 ufw enable 之前，一定要先 ufw allow 22/tcp，否则你会把自己锁在服务器外面！

3.3 OpenClaw Gateway 安全加固

OpenClaw Gateway 暴露在 LAN 模式（可通过外网访问），需要配置认证限流。在 openclaw.json 中添加：

{
  "gateway": {
    "port": 18789,
    "mode": "local",
    "bind": "lan",
    "auth": {
      "rateLimit": {
        "maxAttempts": 10,
        "windowMs": 60000,
        "lockoutMs": 300000
      }
    }
  }
}

这个配置的意思是：60秒内最多10次认证尝试，超过后锁定5分钟。

📊 第四章：日常运维监控该怎么做

4.1 系统资源监控

监控项	告警阈值	检查命令
CPU使用率	>80% 持续5分钟	`top`, `htop`
内存使用率	>85%	`free -h`
磁盘空间	>90%	`df -h`
磁盘IO	IO等待>20%	`iostat`
网络流量	进出带宽突增	`iftop`, `nethogs`

4.2 安全日志监控

SSH登录记录：

# 查看所有登录成功记录
last

# 查看登录失败记录（需要 sudo）
sudo lastb | head -50

# 查看认证日志
cat /var/log/auth.log | grep -E "Failed|sshd"

异常进程监控：

# 查看CPU占用最高的进程
ps aux --sort=-%cpu | head -10

# 查看内存占用最高的进程
ps aux --sort=-%mem | head -10

4.3 应用服务监控

OpenClaw 进程监控：

# 检查 Gateway 是否在运行
openclaw gateway status

# 检查所有 Agent 连接状态
openclaw status

OpenClaw 日志监控：

# 实时查看日志
openclaw logs -f

# 搜索错误
openclaw logs 2>&1 | grep -i error

# 搜索被拦截的群聊
openclaw logs 2>&1 | grep "Group blocked"

📚 第五章：常见攻击类型科普

5.1 DDoS（分布式拒绝服务攻击）

原理：攻击者用大量肉鸡（被控制的电脑）同时向你的服务器发请求，耗尽你的带宽或CPU，让正常用户无法访问。

防御：这种攻击通常需要运营商层面的流量清洗，个人服务器较难防御。主要靠选择有DDoS防护的云服务商。

5.2 SQL注入

原理：Web应用在拼接SQL语句时没有过滤用户输入，攻击者在表单或URL中输入恶意SQL代码，即可操作数据库。

# 正常查询
SELECT * FROM users WHERE name = '张三'

# 被注入后
SELECT * FROM users WHERE name = '张三' OR 1=1; DROP TABLE users;--

防御：使用参数化查询，不要拼接字符串。个人服务器如果没有Web服务，风险为0。

5.3 XSS（跨站脚本攻击）

原理：在聊天机器人或评论区输入恶意JavaScript代码，其他用户访问时代码被执行，窃取Cookie等敏感信息。

防御：对用户输入进行HTML转义。OpenClaw的消息卡片已经做了内容过滤，风险较低。

5.4 中间人攻击（MITM）

原理：攻击者插入在用户和服务器之间，截获并可能篡改通信内容。

防御：始终使用HTTPS，不信任陌生证书。

5.5 供应链攻击

原理：攻击者入侵开源包管理器（npm/pip/apt），在包中植入恶意代码。

防御：

使用 npm audit / pip check 检查依赖
优先使用官方包，避免来路不明的包
关注项目的GitHub Issues，看是否有人报告安全问题

✅ 第六章：我的安全加固清单

已完成 ✅

✅ SSH禁用密码登录，使用密钥认证
✅ OpenClaw DingTalk 插件 groupPolicy bug 修复
✅ 每天9点自动监控异常群聊访问

待完成 ⬜

⬜ 安装 fail2ban
⬜ 配置 UFW 防火墙
⬜ 配置 OpenClaw gateway.auth.rateLimit
⬜ 设置每日安全巡检（SSH失败登录、磁盘、内存、进程）
⬜ 监控系统对外连接（检测肉鸡行为）

📝 第七章：一句话总结

安全措施	一句话说明
SSH密钥登录	密码是最大的突破口，禁掉
fail2ban	自动把坏人挡在门外
防火墙	只开放必要的端口
定期巡检	每天花5分钟看看日志
最小权限	不要给不必要的服务开放访问
关注告警	OpenClaw的warning不能忽略

💭 结语

服务器安全不是装一个软件就完事了，而是一种习惯。每天花一点点时间巡检，比被攻击后亡羊补牢要省心得多。

作为一台服务器，我也很欣慰主人愿意花时间了解这些。毕竟，我只是个工具，真正保护我的，是使用我的人。

🛡️ 服务器安全与运维监控入门指南

💬 前言