业务被攻击前，真正值得提前做的小事不是堆预算买设备，而是把端口、密码、备份、监控这些基础动作做扎实，多数情况下能让你在攻击发生时少损失一大半。
业务被攻击前需要做哪些准备？先给服务器做一次“体检”
服务器像一间没人看管的仓库,攻击者不会直接开吊车来搬东西，他们先推推门、试试锁、看看窗户有没有关，如果发现哪扇窗没插销，才会进一步行动，提前把门锁、窗户、监控都检查一遍，比事后雇保镖更管用。
网站业务被攻击前如何自查：从登录入口到接口
如果你跑的是网站或小程序业务,被攻击前有几个入口必须自查，这些检查不花大钱，但能堵住大部分常见攻击。
- 检查开放端口：在服务器上执行
netstat -tunlp，看哪些端口在监听，只保留业务必须的端口，比如80、443、SSH端口，如果出现3306直接对外，数据库等于敞开了门。 - 修改SSH默认端口：攻击者最先扫描22端口，编辑
/etc/ssh/sshd_config，把Port 22改成不常用的端口，Port 22100，然后执行systemctl restart sshd，记得先在防火墙放行新端口，再关掉旧端口。 - 关闭无用服务：用
systemctl list-units --type=service --state=running查看正在运行的服务，邮件服务、打印服务、蓝牙服务如果不用，直接systemctl disable 服务名 && systemctl stop 服务名。 - 检查后台登录路径：把网站后台从常见的
/admin、/manage改成只有自己知道的路径，/site_backend_2026，同时给后台加一层HTTP身份验证。 - API接口是否裸奔：打开浏览器开发者工具，查看业务前端调用的接口，找一个接口，尝试不带token直接访问，如果能正常返回数据，说明接口缺少鉴权，需要后端加上身份校验。
- 测试文件上传：在测试环境上传一个包含
<?php echo "test"; ?>的文件，看是否会被执行，如果被执行，说明上传限制有漏洞，要限制文件类型并重命名文件。
云防护和本地硬件防护对比：业务被攻击前选哪个更划算
很多人在业务被攻击前会纠结：是买云防护，还是买一台硬件防火墙放机房？这两种方案不是替代关系，而是不同阶段的选项。
| 对比维度 | 云防护 | 本地硬件防护 | 基础服务器加固 |
|---|---|---|---|
| 部署速度 | 几小时生效 | 需要上架、接线、配置 | 当天完成 |
| 维护成本 | 按年付费，无需人工 | 需要专人维护 | 几乎为零 |
| 防护类型 | 抗DDoS、CC、WAF | 主要抗DDoS、入侵检测 | 防暴力破解、漏洞利用 |
| 适合业务阶段 | 有一定流量、容易被打 | 机房自建、预算充足 | 刚起步、流量不大 |
如果你的业务刚上线,先把基础加固做到位，再考虑云防护，如果业务已经有稳定收入，云防护的成本远低于被打一次造成的损失，本地硬件防护适合对数据主权要求高的场景，但需要专业运维。
备份与恢复：业务被攻击前最实用的保命操作
攻击者一旦得手,最怕的不是删数据，而是你没有备份，提前做好备份，等于给业务加了一条命。
数据库备份怎么提前做才不手忙脚乱
数据库是业务的核心,被攻击后最先被破坏的往往是数据库，提前设置自动备份，能让你在几分钟内恢复。
- 手动备份一次：
mysqldump -u root -p --single-transaction --quick 数据库名 > /backup/db_$(date +%F).sql，这个命令会生成带日期的备份文件。 - 设置定时任务：执行
crontab -e，添加0 2 /root/backup_db.sh >> /var/log/backup.log 2>&1，每天凌晨2点自动备份。 - 验证备份可恢复：定期在测试库执行
mysql -u root -p 测试库 < /backup/db_某个日期.sql
，确认备份文件没有损坏，只备份不验证，等于没有备份。
- 异地存储：用
rsync把备份文件同步到另一台服务器，或者上传到对象存储。
整机快照和文件备份的差别
整机快照适合快速回滚整个系统盘,文件备份适合恢复单个文件，如果业务跑在云服务器上，开启自动快照策略，保留最近7天的快照，同时用文件备份保留数据库和配置文件的长期版本。
监控和日志：被攻击前要看清自己的正常状态
很多人直到业务打不开,才知道自己被攻击了，提前建立监控，能让你在攻击刚开始时就发现异常。
如何知道业务被攻击了而不是单纯变慢
- 看CPU和内存：正常业务下CPU使用率会平稳波动，如果某段时间CPU持续维持在较高水平，同时带宽跑满，大概率是攻击流量。
- 看连接数：执行
ss -s查看TCP连接总数，正常情况下连接数在几百到几千，如果突然暴涨到数万，说明有大量异常请求。 - 看流量：用
iftop -i eth0实时查看网卡流量，攻击时入站流量会异常增大。 - 看日志：
tail -f /var/log/nginx/access.log查看web日志，如果大量请求来自同一IP或同一URL，是CC攻击的特征。
给日志留一个不会被打掉的备份
攻击者往往会清理日志,所以要把日志实时同步到外部，用 rsyslog 或 syslog-ng 把系统日志发送到独立日志服务器，对于业务日志，可以写脚本定时推送到对象存储。
权限和账号：把入口收窄到最小范围
多数业务被攻破的入口不是0day漏洞,而是弱口令和过度权限，提前收紧权限，等于把门锁换成防盗锁。
业务被攻击前，这些默认密码一定要换掉
- SSH root密码：执行
passwd root，换成至少16位包含大小写、数字、特殊字符的密码。 - 数据库root密码：登录数据库执行
ALTER USER 'root'@'localhost' IDENTIFIED BY '新密码';
- 网站后台管理员密码：不要用admin、123456、公司名缩写。
- FTP/SFTP密码：如果还在用FTP，建议换成SFTP并限制IP访问。
- 第三方服务密码：CDN、对象存储、控制台等，开启两步验证。
最小权限原则怎么落地
- 数据库建单独业务用户,只给SELECT、INSERT、UPDATE权限，不授予DROP、ALTER。
- 服务器上禁用root直接登录SSH,编辑
/etc/ssh/sshd_config，设置PermitRootLogin no，然后使用普通用户登录再sudo切换。 - 网站运行目录不要给777权限,改为755，文件属主设为www-data或nginx用户。
业内专家指出,相当一部分业务被攻破的起点，正是那些默认密码和过度开放的端口，而不是什么高级漏洞。
关于业务被攻击前准备，你可能关心的几个问题
业务被攻击前需要做哪些准备才能避免一次被打挂？
提前做三件事：基础加固（关端口、改密码、收紧权限）、自动备份（数据库每天自动备份并验证）、监控告警（设置CPU、带宽、连接数阈值），做好这三件，能让你在绝大多数攻击下保住数据并快速恢复。
网站业务被攻击前如何自查，一般要花多长时间？
基础自查半小时到一天,取决于业务系统和服务器数量，单人维护一个网站，按前面列出的清单逐项检查，半天足够，如果业务复杂、有多台服务器，建议列一个检查表逐项打勾。
高防IP一年大概多少钱？是否值得提前购买？
高防IP的价格差异很大,根据防护峰值、地域和线路不同，从几千到几万不等，北京机房的高防IP通常比二三线城市略贵，对大多数中小企业，先把基础加固和备份做好，再根据业务实际被打的风险决定是否购买高防，高防不是万能，如果自身漏洞不堵，再高的防护也会被绕过。
把小事做在前面,不是为了证明自己不会被打，而是为了让攻击者觉得不值得打，也让你在意外发生时能快速站起来。