Linux VPS 加固和安全审计

保护生产服务器不是一次性的任务，而是一个系统化的过程，需要有条不紊地关闭每个攻击向量。我们的三台运行Ubuntu 22.04的VPS托管PHP应用程序、MySQL数据库和Nginx——一个标准的LEMP栈，但攻击面关闭不足。根据内部审查结果：SSH在标准端口上可用并使用密码认证，防火墙规则很少，缺乏自动暴力破解保护，SSL证书手动续期。

我们需要一位具有生产Linux经验的DevOps工程师，能够进行全面审计并以文档化的方式实施所有加固措施。每个更改必须在运行的应用程序上进行测试，然后再应用到生产环境中，所有文档必须详细到足以让团队理解所做的工作及其原因。结果应包括一份PDF安全报告，列出所有识别出的漏洞、实施的措施和剩余风险，以及配置的监控和警报。

工作范围：
— SSH加固：仅限密钥、非标准端口、fail2ban
— 带文档的UFW/iptables规则
— 针对SSH、Nginx和PHP-FPM的Fail2ban
— 使用Let's Encrypt进行自动续期
— Nginx加固：安全头、TLS 1.2+、HSTS、CSP
— MySQL审计和加固：权限、绑定地址、加密
— Logwatch和异常活动警报
— ClamAV和rootkit扫描器
— 通过cron进行健康监控并发送通知

结果：应用更改及文档、PDF报告、监控仪表板。