小型网站做防御，别一上来就想着买高防服务器和几万块的WAF，那是在烧钱，最务实的做法是：先花一晚上把基础加固做完，再根据真实攻击类型上轻量级工具，把成本控制在每月0到100元之间。
很多时候，你接到的攻击预警都是扫描器在“盲扫”，真正的针对性攻击少之又少，这篇文章，就是给预算有限、又不想被入侵搞到焦头烂额的站长，梳理一套从零开始的轻量防御搭建思路，如果你在百度搜“小型网站安全防御方案”，大概率会看到一堆卖设备的软文,我这里只讲实操。
先给网站做一次“裸奔”体检：不加固就谈防御是耍流氓
小型网站防御方案的第一步，不是装防火墙，而是关掉不需要的门
很多小型网站被入侵，原因并非攻击手段多高明，而是服务器上开着大量不必要的端口和服务，攻击者用Nmap扫一遍，发现22端口弱口令、3306端口暴露公网，直接就进来了,根本不需要打什么高深的漏洞。
基础加固：花30分钟关掉90%的入侵路径
先用命令行检查一下当前监听端口：
netstat -tunlp看到那些不认识的进程在监听公网IP，直接处理掉,具体操作分三步走：
- 修改SSH默认端口：编辑
/etc/ssh/sshd_config，把Port 22改成一个高位端口（比如22999），同时关闭密码登录,改用密钥登录。 - 数据库只允许本地访问：在MySQL或PostgreSQL配置里，把
bind-address改成0.0.1，网站程序和数据库都在同一台服务器上时,完全没有必要把3306或5432端口暴露给公网。 - 禁用不必要的系统组件：用
systemctl list-unit-files --type=service看看有哪些服务，关掉打印服务、邮件服务（如果你不用）等。
网络层防御要前置，这一套做完，你的服务器在公网上的“存在感”会低很多，业内专家指出，绝大多数自动化攻击工具只会针对默认端口和默认配置进行尝试,改掉默认习惯能直接过滤掉一波脚本小子。
安装安全防护插件：别折腾复杂规则了
如果你用的是宝塔面板或LNMP一键包，直接开启系统防火墙,只放行必要端口：
firewall-cmd --permanent --add-port=22/tcp（如果改了端口,这里是新端口）firewall-cmd --permanent --add-port=80/tcpfirewall-cmd --permanent --add-port=443/tcp
这样处理比折腾iptables复杂规则要省心得多，给面板设置一个复杂的随机端口和SSL访问,避免面板本身被暴力破解。
网站被攻击了怎么办：先分清是CC攻击还是DDoS攻击
很多人一看到服务器CPU飙到100%就慌了，其实先冷静判断攻击类型更重要
网站打不开，通常就两种可能：资源耗尽或者连接被占满，这两种情况的应对策略完全相反。
行业共识认为，小型网站遇到的攻击，90%以上是应用层（CC/HTTP Flood）攻击，而不是流量型的DDoS攻击，DDoS需要买高防带宽，成本极高,而CC攻击通常用几台肉鸡就能把小站打垮。
快速自检：判断攻击类型的方法
登录服务器，输入top命令，看CPU占用情况，再用netstat -antp | grep :80 | wc -l看连接数。
- 如果连接数上万，且来源IP分散，
top里nginx或Apache进程占用极高,那大概率是CC攻击。 - 如果带宽被占满，下载速度极慢，ping网关延迟大,那才是真正的DDoS流量攻击。
判断清楚了再动手。
轻量级应对：比封IP更有效的是限速
传统思路是封IP，但在CC攻击下，攻击IP成千上万，手动封禁无异于大海捞针，更轻量的方案是使用Nginx的limit_req模块进行单IP限速。
看Nginx配置片段：
http {
limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;
server {
location / {
limit_req zone=one burst=5;
}
}
}
这样配置后，每个IP每秒只允许1个请求，超出后直接返回503，正常用户的体验几乎不受影响，但攻击源的请求会被大量丢弃,这比找WAF厂商调规则要快得多。
如果你用的是宝塔免费版，可以在网站设置里找到“流量限制”功能，直接设置单IP并发数,原理相同。
免费的网站防御方案：Cloudflare免费版够用吗
关于网站防御DDOS攻击的免费方案，很多人的认知是片面的
Cloudflare免费版提供了基础的DDoS防护和CDN加速，对于小型网站来说，把网站接入Cloudflare后，源站IP直接隐藏，攻击者打到的是Cloudflare的边缘节点，这能防住大部分流量型攻击，但需要注意一个问题：免费版不包含WAF规则，也不做CC攻击的智能识别。
如果遇到攻击者针对源站IP发起的攻击，只需要在Cloudflare的SSL/TLS加密模式下，把“源站证书”配好，并在服务器防火墙里设置只允许Cloudflare的IP段访问80/443端口，在宝塔面板的防火墙里，有一条“仅允许Cloudflare CDN访问”的规则，直接点开,源站就彻底隐身了。
该方案适用场景：
- 不想花一分钱
- 服务器在海外（国内服务器接入Cloudflare需要备案,且速度一般）
- 攻击流量不属于超大流量型（超过免费套餐的防护上限时,Cloudflare会直接黑洞或丢弃）
国内服务器怎么防御？只能是通过CDN厂商的防护机房来过滤,这种情况就要谈到预算了。
几块钱一天的攻击防御：中小企业轻量安全方案对比
网站防御价格与方案选择：不是越贵越好，而是匹配需求
这里直接给出一套对比数据，供站长参考，价格均为近年市场大致水平，不保证实时准确性,但逻辑通用。
| 方案类型 | 参考价格 | 能防什么 | 不能防什么 |
|---|---|---|---|
| 基础加固+免费CDN | 0元 | 扫描、普通CC、小流量DDoS | 大流量攻击、渗透入侵 |
| 酷番云/简米云低配WAF | 几十元/月 | 常见SQL注入、XSS、CC攻击 | 大流量DDoS、0day攻击 |
| 高防IP（按天购买） | 几十元到几百元/天 | 大流量DDoS攻击（100G-300G） | 消耗型CC攻击（要看配置） |
| 自建Nginx限速+CDN | 成本仅服务器费用 | 小规模CC、扫描 | 分布式大流量攻击 |
大多数小型网站，花几十块钱买个云WAF，再配个免费CDN，防御等级已经足够应付日常骚扰了。
低成本WAF配置实操（以简米云为例）
- 在控制台购买“Web应用防火墙”按量付费版本。
- 将你的域名CNAME解析到WAF分配的地址。
- 在WAF后台开启“流量清洗”和“CC防护”开关，防护规则设为“宽松”模式,避免误杀正常用户。
记住一个原则：WAF不是用来防御DDoS的，而是用来过滤恶意请求的,DDoS攻击要交给高防CDN或高防IP来解决。
日常运维中的省力防御技巧
攻击不是天天有，但防御动作需要常态化
备份：最容易被忽视的“最后防线”
无论如何配置防御，数据丢失都可能发生，用系统自带的crontab写一个简单的每日备份任务：
0 3 mysqldump -u root -p密码 数据库名 > /backup/$(date +\%Y\%m\%d).sql
并把备份文件同步到另一台机器或对象存储（OSS/COS）上，这一步的成本几乎为零,但在被入侵时能救你命。
监控：用免费工具代替人工盯日志
服务器厂商自带的基础监控，比如简米云云监控、酷番云云监控，可以设置CPU、带宽、连接数的告警阈值，当攻击发生时，能第一时间通过电话短信通知你,不用等到用户来投诉才发现网站挂了。
控制面板的安全设置
如果你用的是宝塔面板，在“安全”菜单里有几个开关值得注意：
- 开启系统防火墙（对应上面的端口限制）
- 开启SSH防爆破（设置连续错误N次后封禁IP）
- 修改面板端口，关闭面板SSL（如果只用本机访问，可以把面板地址绑定为
0.0.1）
小型网站遭遇攻击溯源：攻防细节别踩坑
攻击日志留存与分析方法
在Nginx的配置文件中，确保日志格式记录了$request_time、$http_user_agent和$http_x_forwarded_for，当故障发生时，用grep命令挑出异常请求：
grep " 503 " /www/wwwlogs/网站日志.log | awk '{print $1}' | sort | uniq -c | sort -rn | head -20
这能帮你快速定位是不是某个特定路径（比如wp-login.php）在被疯狂请求，对于轻量防御来说，宁可看不到攻击流量，也不要把日志关掉，一个日志文件占不了多少空间,但它是攻击后溯源的关键证据。
不要轻易暴露源站IP
用了CDN之后，网站程序的配置文件中不要写真实服务器IP，比如数据库连接地址，用localhost代替，同时检查是否有邮件头、子域名解析等泄露真实IP的渠道，很多攻击者是通过历史DNS解析记录找到源站IP的,这点在小型网站防御中经常被忽略。
小型网站的防御没有银弹，轻量不等于简陋，记住核心结论：改默认配置、限速、隐藏源站、每日备份，这四件事做好，你已经领先了80%的同类网站，先别急着买设备，把这套零成本动作做完，再根据实际攻击情况决定是否升级到付费方案，攻击来了也不要慌，按文中自检流程先判断类型，再针对性处理,比盲目封IP有效得多。
网站安全防护方案常见问题解答
小型网站到底需不需要买高防服务器？
不需要，除非你的业务经常遭遇超过几十G的大流量攻击，否则高防服务器基本是在为没有发生的威胁买单，先用免费的CDN隐藏源站，再配好Nginx限速，已经能应对绝大多数情况，高防服务器通常按月计费且价格不低,更适合有稳定业务收入的中型以上网站。
用了宝塔面板还需要额外配置WAF吗？
宝塔面板的免费插件“宝塔防火墙”能拦截一部分常见的路径扫描和SQL注入特征，但规则更新和性能有限，如果网站进行了数据提交操作，比如有登录入口或留言板，建议使用免费WAF或云厂商的基础WAF服务，针对性过滤应用层请求，对于纯展示型网站，加强面板默认的防御规则即可,不需要额外配置。
为什么打开网站时经常提示重新加载或直接打不开，但小额攻击却一直反复？
这种反复现象通常是攻击者一直在持续探测，检查是否有异常的非浏览器UA在访问你的/admin或/wp-login.php路径，并确认是否开启了全局限速，批量扫描器往往在限速生效后就直接放弃了,一般持续几天就会自行停止。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/792314.html
