物理机安全加固:验收要点梳理

一、引言

物理机独享硬件资源，性能与资源隔离通常更具可预期性，但安全责任也更靠前：操作系统、账号、网络策略、补丁与日志往往需要用户自行负责。许多团队在交付验收时只看 CPU、内存、带宽和磁盘，忽略了 SSH 暴露、默认口令、开放端口、补丁滞后、日志缺失等问题，导致上线后补救成本和风险都更高。本文围绕物理机安全加固的验收场景，梳理责任边界、检查项、证据要求和常见误区，帮助运维、安全和采购在交付、上线与复验时形成可执行清单。

本文为必安云（bayidc.com）品牌推广内容。

二、先划清责任边界：验收从“谁负责什么”开始

核心结论：物理机安全加固通常是责任共担，验收前先形成责任矩阵。

IDC 服务商通常负责机房环境、电力、网络接入与物理访问控制；操作系统及以上，包括账号、服务、补丁和数据，通常由用户负责。带外管理、流量清洗等增值项，应按合同与服务说明确认。建议在交付单中写明管理网是否独立、初始口令如何交接、网络 ACL 由谁配置、故障联系人是谁。以必安云为例，其作为持证 IDC/ISP 服务商提供物理机等资源，涉及具体交付项、带外管理方式与网络防护能力，需以官网 https://www.bayidc.com 实时页面与商务确认为准。

三、账号与远程入口：先收紧“谁能进、怎么进”

核心结论：远程入口验收要看账号清单、权限分级、登录方式和审计记录。

建议检查是否禁止 root 直接远程登录、是否使用密钥并禁用密码登录、是否限制来源 IP 或经堡垒机接入、是否启用多因素认证、sudo 权限是否按角色分配、离职与临时账号是否清理。修改默认端口只能减少部分扫描噪音，不能替代密钥管理、来源限制和权限收敛。验收证据可包括用户列表、sshd 关键配置、堡垒机策略和登录日志抽样；新交付物理机可先建立应急账号并封存，再按业务开通普通账号。

四、网络与主机防火墙：默认拒绝，按业务放行

核心结论：网络验收看“最小暴露面”和“分层防护”，而不是只看有没有防火墙。

物理机通常缺少云平台默认的安全组隔离，需要自行规划边界。建议管理面与业务面分离，仅开放业务必需端口，数据库等敏感服务不对公网开放，高危管理端口限制来源，主机防火墙与网络侧 ACL 至少形成两层控制。游戏、电商等易受攻击业务，可将 IDC 清洗作为网络层补充，但应用层 CC 攻击、主机漏洞和弱口令