如何预防账户暴力破解攻击？

账户破解风险

一旦主机账户被破解，入侵者就拥有了对主机的操作权限，主机上的数据将面临被窃取或被篡改的风险，企业的业务会中断，造成重大损失。

如何预防

• 设置安全强度高的口令
• 配置SSH登录白名单

  SSH登录白名单功能是防护账户破解的一个重要方式，配置后，只允许白名单内的IP登录到服务器，拒绝白名单以外的IP。

• 开启双因子认证

  双因子认证功能是一种双因素身份验证机制，结合短信/邮箱验证码，对云服务器登录行为进行二次身份认证。

  在“双因子认证”页面，勾选需要开启双因子的主机，单击“开启双因子认证”，开启双因子认证。

• 修改默认端口号

  将默认的远程管理端口“22”、“3389”修改为不易猜测的其他端口。

• 设置安全组规则，限制攻击源IP访问您的服务端口
  

  建议设置对外开放的远程管理端口（如SSH、远程桌面登录），只允许固定的来源IP进行连接。

  帐户破解防护可实时检测攻击者对主机中账户的暴力破解攻击，拦截攻击源IP。您可以通过来限制攻击源IP访问您的服务端口。

  如果是远程登录端口，您可以只允许特定的IP地址远程登录到弹性云服务器。以仅允许特定IP地址（例如，192.168.20.2）通过SSH协议访问Linux操作系统的弹性云服务器的22端口为例，安全组规则如下所示：

  表1 仅允许特性IP地址远程连接云服务器

  方向	协议应用	端口	源地址
  入方向	SSH（22）	22	例如：192.168.20.2/32