云安全技术分三层：边界、主机和数据

安全这件事，最怕的不是没做，是三层只做了一层。云安全技术分三层边界主机数据，这个分法不是厂商为了卖产品硬凑出来的，攻击者本来就从外往里打：先碰边界，再找主机，最后才动数据。顺序搞反了，钱花了，洞还在。见过不少站点，WAF买得挺积极，服务器登录密码还是那一套，数据库端口对着公网敞开，出了事第一反应是“不是有防火墙吗”。

云安全技术分三层边界主机数据，先认清哪层归谁管

一讨论安全就容易堆设备，防火墙、堡垒机、加密机，名字一个比一个唬人。可落到日常，边界就是网络入口那一圈，主机是跑业务的那台机器，数据是库里、备份盘里、对象存储里的东西。三层对应的人也不一样，网络组管边界，系统组管主机，数据库和开发管数据。小公司一个人全包，更要在脑子里分开，不然修了边界就以为万事大吉。我见过把WAF挂上、结果服务器22端口对全网开放的情况，等于大门装了监控，侧门压根没关。

边界层：别让不该看见的端口露在外面

边界这层最实在的动作是收口子。云主机安全组只放业务需要的端口，80和443对外，22、3389限制来源IP，数据库端口只允许内网访问。听着像废话，可扫描器每天就在扫这些，谁家补丁慢、谁家端口开得大，很快就会被盯上。WAF、CDN、DDoS清洗算边界加固，但别当万能药。WAF能挡常见的注入和爬虫，挡不住弱口令登录，也挡不住你把管理后台挂在公网还不改默认密码。边界设备的日志要有人看，告警发到群里没人接，只是换个地方睡觉。安全策略里写清楚谁来看、多久看一次，比再加一台设备更管用。

主机层：补丁和账号比装个杀软更管用

主机层的问题往往不是黑客多厉害，而是自家机器上挂着测试账号、默认口令、长期没打的补丁。做法不复杂，先做系统基线加固，关掉用不上的服务和端口；SSH尽量用密钥登录，别把root密码到处发；能上堡垒机的就上，登录审计留痕。入侵检测可以由轻到重，先看异常进程、异常对外连接、计划任务里多出来的东西。别等挂了马才翻日志，日志审计要提前开着，最好单独存一份，别让入侵者顺手清掉。Windows机器记得补丁策略，Linux盯内核和对外暴露的中间件，Tomcat、Nginx这类组件的版本别几年不动。服务器主机这层管好了，边界漏进来的风险也小一半。

数据层：备份不是摆样子，恢复演练才算数

数据安全常被简化成“有备份”。有备份和能恢复是两回事。备份文件跟主机放同一个账号、同一个区域，主机被端了备份也跑不掉。合理的是异地或跨账号留一份，定期做恢复演练，哪怕抽一张表出来验证也行。数据库权限按最小化给，应用账号别用root，能只读的就别给写权限；敏感字段加密或脱敏，导出操作要审批，最好留记录。数据备份、数据恢复这些词听着老套，真出事的时候就是它们兜底。还有个容易忽略的点，测试环境别直接拉生产库，脱敏没做好，泄露往往从内部开始。

三层之间会互相穿透，别只盯一层

边界被突破不等于主机立刻失守，但主机权限一大，数据层就直接裸露。反过来，数据账号泄露，攻击者可能从内网横向摸到主机，再找机会绕开边界。所以三层不是三个孤岛，得看有没有联动：边界告警能不能推到主机排查，主机异常能不能触发数据侧加锁，数据导出异常能不能回溯到账号。很多应急演练只演一半，前面拦住了，后面没人接管。安全策略要写成流程，不是买一堆产品放那儿，更不是出事以后临时拉个群。

一层一层照着查，别贪多

想动手的话，先把边界端口清单拉出来，对一遍安全组和防火墙规则，公网暴露的管理端口能关就关；再列主机账号，删掉不用的，确认补丁和日志开着，登录方式该换密钥的换；最后翻备份策略，问一句“真恢复一次要多久”，答不上来就说明还没底。这三步做完，比上一套看不懂的安全报表实在。云上的安全组、WAF、快照这些能力，具体界面和规则以服务商或官方页面说明为准，别照搬网上的截图，环境不一样，照抄容易把自己关在门外。

如果只能先做一件事，先把公网暴露的端口收掉，再把备份恢复走一遍。剩下的边界规则、主机基线、数据权限，按业务节奏慢慢补。安全不是一次做完的工程，是每次上线的习惯。三层都有人管，才叫分层；只有设备没有人，那叫堆料。