安全加固最常见的失败原因是「想一次做全」，结果什么都没做。更有效的做法是按优先级分档推进。下面 20 项按紧急程度分为三档。
第一档：立即做（今天就能完成）
1. 停止使用主账号做日常操作
创建 RAM 子账号，日常运维、开发、查看账单都使用子账号。主账号只用于权限与账单管理，并开启 MFA。这是最重要的一项。
2. 收敛安全组规则
检查所有安全组，把 0.0.0.0/0 的规则收窄。特别是：
- 22 端口（SSH）不要对全网开放，只允许办公 IP
- 3306 / 6379（数据库、Redis）绝不要对公网开放
- 关闭一切不必要的端口（如 8080、9200、5601 等中间件默认端口）
3. 清理硬编码的 AK
搜索代码仓库中的 AccessKeyId、LTAI 等关键词，把硬编码的密钥替换为 RAM 角色或环境变量。发现已泄露的 AK 立即在控制台禁用并轮换。
4. 开启云安全中心免费版
免费基础版提供资产清点与基础告警，零成本。开启后可以看清自己有多少资产暴露在公网。
5. 为云盘与 OSS 开启加密
在 KMS 中创建密钥，为存有敏感数据的云盘和 OSS Bucket 开启加密。对新数据基本透明，性能影响可忽略。
第二档：一周内做（需要一些配置工作）
6. 配置自动快照与数据库备份
为所有云盘配置自动快照策略（如每天 1 次、保留 7 天）；确认 RDS 的自动备份已开启且保留周期合理（建议 7–30 天）。
7. 部署堡垒机
所有服务器运维操作经过堡垒机，实现统一入口、权限管控与操作录屏。即使不做等保，也能避免密码扩散与运维事故无法追溯。
8. 开启操作审计
操作审计 ActionTrail 记录所有 API 操作。开启后可以查询「谁在什么时间做了什么」，是安全事件溯源的必备能力。
9. 配置关键告警
至少配置这些告警：ECS CPU/内存/磁盘异常、OSS 外网流量激增、安全中心高危告警、账单异常增长。告警渠道建议同时用短信与钉钉。
10. 启用 VPC 流日志
对核心业务所在 VPC 开启流日志，记录网卡级流量元数据，用于安全审计与异常流量排查。
11. 检查 OSS 权限与防盗链
确认没有意外的公共读 Bucket，所有公共读 Bucket 都配置了 Referer 防盗链，并设置了流量告警。
12. 升级云安全中心到企业版
企业版提供漏洞管理、基线检查与深度入侵检测，是等保三级的基础要求。按服务器台数计费，成本可控。
第三档：规划做（结合业务与合规需求）
13. 部署 WAF
有用户数据、登录、支付功能的网站应部署 WAF，防护 SQL 注入、XSS 与 CC 攻击。等保项目基本必需。
14. 部署云防火墙
业务系统增多后，用云防火墙做南北向统一管控与东西向微隔离，阻断横向移动攻击。
15. 建设日志集中留存
用日志服务 SLS 集中采集网络、主机与应用日志，留存 180 天以上（等保要求）。
16. 密钥与凭据集中管理
数据库密码、第三方 API Key 统一托管到 KMS 凭据管家，应用通过 SDK 动态获取，配合自动轮转消除凭据泄露风险。
17. 建立变更管理流程
生产环境的变更（尤其是数据库结构变更）走审批流程，使用 DMS 的工单与审批能力，避免误操作。
18. 定期漏洞扫描与补丁管理
用云安全中心的漏洞管理定期扫描，用 OOS 的补丁管理批量安装系统补丁。建议每月一次。
19. 制定应急预案并演练
明确「被入侵了怎么办」「数据丢了怎么恢复」「被 DDoS 了怎么处理」的处置流程与责任人，并实际演练一次。
20. 考虑等保测评
如果业务涉及金融、医疗、政务、教育等监管行业，或有招投标需求，需要办理等保 2.0 测评。建议提前 3–6 个月启动。
优先级总结
| 档位 | 核心目标 | 投入 | 风险降低幅度 |
|---|---|---|---|
| 立即做 | 消除明显暴露面与密钥泄露 | 几乎零成本 | 极高（挡住大部分自动化攻击） |
| 一周内做 | 建立可追溯与可恢复能力 | 低（部分免费） | 高（事故可定位、数据可恢复） |
| 规划做 | 满足合规与深度防护 | 中等 | 中（应对定向攻击与合规要求） |
安全不是一次性项目，而是持续过程。但先把第一档做完，你的安全水位就已经超过了大多数团队。