档案软件数据安全落地实操指南 从配置防护到应急处理全步骤

一、基础环境安全配置（前置必备）

1. 操作系统层加固

所有档案软件必须部署在Linux服务器上，禁止用Windows服务器作为生产环境，按以下步骤操作：

• 执行ss -tulnp查看所有开放端口，关闭非必要端口，执行命令：
  firewall-cmd --remove-port=21/tcp --permanent && firewall-cmd --remove-port=23/tcp --permanent && firewall-cmd --reload
• 强制开启SSH密钥登录，关闭密码登录：编辑/etc/ssh/sshd_config，修改配置为PasswordAuthentication no、PubkeyAuthentication yes，保存后执行systemctl restart sshd生效
• 创建专用运行用户，禁止用root启动软件：执行useradd archive_run，给档案软件目录设置最小权限：
  chown -R archive_run:archive_run /opt/archiveSoft && chmod 700 /opt/archiveSoft

2. 数据库层基础防护

档案软件默认用MySQL 8.0+作为数据库，按以下规则配置：

• 禁止数据库公网暴露：编辑/etc/my.cnf，添加配置bind-address=127.0.0.1，重启MySQL生效
• 创建专用数据库用户，禁止用root账号连接软件：执行SQL语句：

  

  CREATE USER 'archive_user'@'localhost' IDENTIFIED BY '16位以上含大小写、数字、特殊符号的自定义密码';
  GRANT ALL PRIVILEGES ON archive_db. TO 'archive_user'@'localhost';
  FLUSH PRIVILEGES;
  

• 开启数据库操作审计：在/etc/my.cnf添加配置general_log_file = /var/log/mysql/archive_mysql.log、general_log = 1，所有数据库操作会被全量记录

二、档案软件本身安全配置

1. 访问权限细粒度配置

• 开启强密码策略：如果是自研软件，在配置文件中添加以下规则：

  password_strategy:
  min_length: 12
  include_upper: 1
  include_lower: 1
  include_number: 1
  include_special: 1
  expire_days: 90
  

  如果是开源档案系统（如Mayan EDMS），直接在后台「认证设置」中开启对应规则即可
• 权限最小化配置：普通录入员仅开放上传、查看管辖范围档案权限，审核员仅开放审核权限，管理员仅开放系统配置权限，禁止超管账号日常使用
• 强制管理员账号开启双因素认证：开源系统直接在后台开启TOTP认证，自研系统接入TOTP SDK即可，所有管理员必须绑定手机动态码才能登录

2. 数据传输加密配置

必须全链路开启HTTPS，禁止用HTTP传输数据，按以下步骤配置免费SSL证书：

• 执行命令安装证书工具：curl https://get.acme.sh | sh -s email=你的工作邮箱
• 申请证书：acme.sh --issue -d 你的档案系统域名 --webroot /opt/archiveSoft/webroot
• 配置Nginx反向代理，完整配置可直接复制修改：

  server {
  listen 443 ssl;
  server_name 你的档案系统域名;
  ssl_certificate /root/.acme.sh/你的域名/fullchain.cer;
  ssl_certificate_key /root/.acme.sh/你的域名/你的域名.key;
  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
  location / {
  proxy_pass http://127.0.0.1:8080;  档案软件本地监听地址
  proxy_set_header Host $host;
  proxy_set_header X-Real-IP $remote_addr;
  }
  listen 80;
  if ($server_port !~ 443){
  rewrite ^(/.)$ https://$host$1 permanent;
  }
  }
  

• 开启存储加密：上传的所有档案文件用AES-256-GCM算法加密后存储，加密密钥单独保存在/etc/archive_key文件中，权限设为chmod 600 /etc/archive_key，仅root可读取

三、数据备份与容灾实操

1. 自动备份策略配置

• 数据库自动备份：创建脚本/opt/scripts/db_backup.sh，内容可直接复制：

  !/bin/bash
  BACKUP_DIR=/data/backup/db
  DATE=$(date +%Y%m%d%H%M)
  mkdir -p $BACKUP_DIR
  mysqldump -uarchive_user -p'你的数据库密码' archive_db | gzip > $BACKUP_DIR/archive_db_$DATE.sql.gz
  find $BACKUP_DIR -type f -name ".sql.gz" -mtime +30 -delete
  

  执行chmod +x /opt/scripts/db_backup.sh赋予权限，添加定时任务：执行crontab -e，添加行0 2 /opt/scripts/db_backup.sh，每天凌晨2点自动备份
• 文件自动备份：每天凌晨3点同步到离线备份服务器，定时任务添加行：0 3 rsync -avz /opt/archiveSoft/upload/ 备份服务器用户名@备份服务器IP:/data/backup/file/
• 每周做1次离线冷备份：把最新的数据库和文件备份拷贝到移动硬盘，离线存放，不连接任何网络

2. 备份有效性校验

每月1号必须执行恢复测试，步骤如下： 1. 部署和生产环境版本一致的测试服务器； 2. 导入最近的备份文件：gunzip < 备份文件.sql.gz | mysql -uarchive_user -p'密码' test_archive_db； 3. 同步备份的档案文件到测试服务器对应目录； 4. 随机抽查100份档案，确认可以正常打开、内容完整，校验不通过立即排查备份流程问题

四、安全事件应急处理步骤

如果发生数据泄露、篡改、勒索病毒攻击，严格按以下顺序操作： 1. 第一步立即断网：执行systemctl stop nginx，拔掉服务器网线，防止攻击扩散，禁止直接关机避免日志丢失； 2. 溯源：拷贝/var/log/nginx/access.log、数据库审计日志、/var/log/auth.log到离线设备，排查攻击入口； 3. 数据恢复：用最新的离线冷备份恢复数据，禁止使用可能被感染的在线热备份； 4. 整改上线：修复攻击入口漏洞（如弱密码、未打补丁的漏洞），全量扫描确认无后门后再连网上线。

五、每周安全巡检清单

• 检查系统登录日志，有没有陌生IP登录失败超过5次的异常记录
• 检查备份任务执行日志，确认备份文件大小无异常波动
• 抽查档案软件操作日志，有没有越权访问、批量下载的异常操作
• 安装系统安全补丁：CentOS执行yum update -y --security，Ubuntu执行apt update && apt upgrade -y
• 随机抽查10份档案，确认内容完整未被篡改