Tom*_*Tom 36
我认为您在那里承认了一个有趣的系统管理员真相，那就是
除非您可以将被黑客入侵的可能性降低到零，否则最终在某个时候，您将被黑客入侵。
这只是数学和概率的基本真理，对于事件的任何非零概率。事件最终发生...
因此，减少“最终被黑客入侵”事件影响的2 条黄金法则是：
最小特权原则
您应该将服务配置为以拥有完成服务任务所需的最少权限的用户身份运行。即使黑客闯入机器，这也可能包含黑客。
例如，黑客使用 Apache 网络服务器服务的零日漏洞入侵系统很可能仅限于该进程可以访问的系统内存和文件资源。黑客将能够下载您的 html 和 php 源文件，并可能查看您的 mysql 数据库，但他们不应该能够获得 root 或将入侵扩展到 apache 可访问的文件之外。
许多默认 Apache 网络服务器安装默认创建 'apache' 用户和组，您可以轻松配置主 Apache 配置文件 (httpd.conf) 以使用这些组运行 apache。
权限分离原则
如果您的网站只需要对数据库的只读访问权限，则创建一个仅具有只读权限且仅对该数据库具有只读权限的帐户。
SElinux 是创建安全上下文的不错选择，app-armor是另一个工具。Bastille是以前的硬化选择。
通过将受到攻击的服务的权力分离到它自己的“盒子”中，减少任何攻击的后果。
白银规则也不错。
使用可用的工具。（您不太可能像安全专家一样做得好，因此请利用他们的才能来保护自己。）
Nat*_*ong 15
您正在描述一种黑名单方法。白名单方法会更安全。
一个专属俱乐部永远不会试图列出所有不能进来的人；他们会列出所有可以进来的人，并排除那些不在名单上的人。
同样，试图列出不应该访问机器的所有内容也注定失败。限制对程序/IP 地址/用户的简短列表的访问会更有效。
当然，像其他任何事情一样，这涉及一些权衡。具体来说，白名单非常不方便，需要不断维护。
为了进一步权衡，您可以通过断开机器与网络的连接来获得极大的安全性。
Old*_*Pro 11
根据定义，您无法阻止零日攻击。正如其他人指出的那样，您可以做很多事情来减少零日攻击的影响，您应该这样做，但这并不是故事的结局。
让我指出，此外，您应该投入资源来检测攻击何时发生、攻击者做了什么以及攻击者是如何做的。全面且安全地记录黑客可能进行的所有活动，不仅可以更轻松地检测攻击，而且更重要的是，可以确定已造成的损害以及从攻击中恢复所需的补救措施。
在许多金融服务环境中，执行交易的延迟和开销方面的安全成本如此之高，因此将资源集中用于检测和逆转欺诈交易，而不是首先采取旨在防止它们的广泛措施更有意义. 该理论认为，再多的措施都不会是 100% 有效的，因此无论如何都需要建立检测和逆转机制。而且，这种方法经受住了时间的考验。