本文由 腾讯云国际站代理商『云枢国际/yunshuguoji-腾讯云国际服务器服务商•撰写』如需转载请注明！
作者：云枢国际
当前，针对公网 IP 的自动化攻击和恶意扫描十分频繁。对于出海企业而言，在了解腾讯云服务器基本使用的基础上，做好主机安全加固是保障业务连续性的关键。
本文将详细讲解腾讯云国际版 Cloud Virtual Machine (CVM) 的三大核心安全基线配置：彻底禁用密码登录、部署运维堡垒机以及利用云安全中心（CWPP）进行恶意扫描自查，帮助系统管理员和安全运维工程师收敛攻击面。
基线一：身份认证加固——彻底禁用密码登录
在海外节点的日常运维中，SSH 密码爆破是常见的自动化攻击手段。相比于易受字典攻击的复杂密码，基于非对称加密的 SSH 密钥对安全性更高。禁用密码登录是腾讯云服务器安全加固的基础步骤。
操作步骤与防呆设计
- 创建与绑定密钥对：在腾讯云国际版控制台的 CVM 管理页面，生成新的 SSH 密钥对或导入已有的公钥，并将其绑定到目标 CVM 实例。
- 验证密钥登录：在关闭密码认证之前，必须先使用私钥通过 SSH 客户端成功连接到服务器。这一步是关键的防呆设计，避免因配置失误导致无法连接服务器。
- 修改系统配置：登录 CVM 后，编辑 SSH 配置文件（通常为
/etc/ssh/sshd_config），将PasswordAuthentication yes修改为PasswordAuthentication no。 - 重启服务：执行
sudo systemctl restart sshd使配置生效。
运维排障：禁用密码登录后，如果密钥丢失如何恢复对 CVM 的访问？
如果在日常操作中不慎丢失了私钥，可以通过腾讯云控制台的 VNC 登录功能，或者在控制台使用“重置密码/替换密钥”功能强制下发新的认证信息。极端情况下，可将系统盘卸载并挂载到另一台正常的 CVM 上进行文件修复。
注：2026 年腾讯云国际版控制台的具体菜单路径和 UI 可能有所迭代，具体操作入口请以当前最新版本的官方文档为准。
基线二：访问控制收敛——部署运维堡垒机
即便使用密钥登录，将 SSH (22) 或 RDP (3389) 端口直接暴露在公网仍存在被漏洞攻击的风险。建议引入腾讯云国际版堡垒机，将访问控制收敛至内网。
架构设计与安全组配置
在实际部署中，CVM 应部署在私有子网（VPC）内，不直接绑定公网 IP。运维人员需先通过多因子认证（MFA）登录堡垒机，再由堡垒机通过内网 IP 跳转至目标 CVM。
在此架构下，腾讯云 CVM 安全组配置极为关键：CVM 的入站规则应仅放行堡垒机的内网 IP 地址，拒绝其他任何来源的 SSH/RDP 请求。
运维排障：配置安全组仅允许堡垒机 IP 访问时，如何避免把自己锁在服务器外？
在修改安全组规则时，建议先保留当前操作机器的公网 IP 作为临时白名单。待通过堡垒机成功连接到 CVM 并确认链路畅通后，再将临时白名单剔除，实现平滑过渡。
传统跳板机与云原生堡垒机能力对比
堡垒机与普通跳板机在安全审计上有什么本质区别？
普通跳板机通常只是一台安装了 SSH 服务的 Linux 机器，其审计能力有限。而云原生堡垒机提供协议级别的代理与解析，能够实现操作录像回放、高危命令实时拦截以及不可篡改的集中式审计日志。
| 功能维度 | 传统自建跳板机 | 云原生堡垒机 (如腾讯云 BH) |
|---|---|---|
| 部署与维护 | 需自行维护系统及网络，成本高 | 全托管服务，免底层运维 |
| 权限管控 | 细粒度权限分配困难 | 支持基于角色（RBAC）的细粒度授权 |
| 操作审计 | 仅有基础文本日志，易被清理 | 支持协议级录像回放、指令级检索 |
| 身份认证 | 通常仅支持密码或密钥 | 原生集成 MFA、单点登录（SSO） |
注：腾讯云原生堡垒机（BH）在国际站的最新支持地域和版本定价，需通过官方产品定价页进行实时核验。
基线三：持续威胁检测——恶意扫描自查与防御
完成身份和网络加固后，还需应对应用层和系统内部的潜在威胁。腾讯云主机安全自查可配合云安全中心（CWPP）进行。
如何利用腾讯云 CWPP 自动化检测和拦截恶意扫描？
1. 资产接入：确保 CVM 已安装并在线运行 CWPP Agent。
2. 基线检查：定期运行 CWPP 的安全基线扫描任务，自动检测弱口令、高危端口暴露及不合规的系统配置。
3. 入侵防御：开启恶意请求拦截功能。当检测到持续端口扫描或漏洞探测时，会自动联动封禁攻击源 IP。
4. 日志排查：若怀疑主机被恶意扫描，可通过 CWPP 控制台的“入侵检测”模块查看告警日志，或结合 CVM 本地的 /var/log/secure 进行交叉比对。
注：CWPP 2026 年最新版本的具体计费项与功能边界，请参考官方最新文档。
常见问题 (FAQ)
1. 购买或租用腾讯云国际版云服务器时，应该重点比较哪些条件？
购买前应明确业务负载、目标地区、预算、可用性和运维能力。推荐顺序如下：
1. 明确用户分布、业务类型及增长预期；
2. 确定目标地区及数据合规边界；
3. 选择实例、存储、网络和数据库组合；
4. 设计备份、监控、安全和故障恢复；
5. 用短周期资源验证性能；
6. 核对长期账单、续费和扩缩容方式。
具体价格、支付方式和产品能力应以当期官方文档为准。
2. 腾讯云国际版云服务器适合哪些业务场景，选型时应关注什么？
选型取决于业务类型、用户地区、性能和预算。应重点关注：
* 用户分布及网络延迟要求；
* 应用类型（网站、SaaS、游戏、AI 等）；
* 峰值并发、数据量及带宽需求；
* 高可用、备份、容灾和安全要求；
* 团队对自动化运维的熟悉程度；
* 持续费用和扩容预算。
3. 如何在腾讯云国际版 CVM 中强制使用 SSH 密钥登录？
首先在控制台生成或导入 SSH 密钥对并绑定到 CVM 实例。使用私钥成功登录后，编辑 /etc/ssh/sshd_config 文件，将 PasswordAuthentication 参数修改为 no，最后执行 sudo systemctl restart sshd 重启服务，即可强制仅允许密钥登录。
4. 腾讯云主机被恶意扫描如何排查和防御？
排查方面：检查系统安全日志（如 /var/log/secure）确认是否存在大量认证失败记录；检查 Web 服务日志排查漏洞探测。
防御方面：通过配置安全组仅放行必要业务端口和受信任源 IP；启用腾讯云 CWPP 的入侵检测与自动化拦截功能，及时封禁恶意扫描源。