镜像安装成功，不等于主机已经可以安全投入使用。尚未更新的系统、默认账户和未检查的远程管理服务，都可能留下风险。执行香港机房操作系统镜像的初始化安全清单时，建议先通过机房控制台或受控管理通道操作，完成下列检查后再开放业务访问。
先确认系统状态，再做首次加固
- 核对镜像与版本。确认安装的是预期的发行版、版本和架构，例如 Ubuntu Server、Debian、Rocky Linux 或 Windows Server；同时检查系统时间、主机名和磁盘挂载，避免把模板机的遗留配置带入生产环境。
- 记录初始状态。保存系统版本、已安装软件、正在监听的服务及关键配置文件清单。若由多人维护，记录操作时间和变更内容，便于后续排查。不要把密码、私钥写进普通文本记录。
- 先保留恢复通道。确认机房提供的控制台可用，并准备一条经过验证的管理路径。修改远程登录或防火墙规则时，先开新会话验证，再关闭旧会话，避免误操作后无法连接。
账户、更新与远程访问
优先消除默认凭据
删除或锁定不需要的默认账户；为日常管理创建个人账户，并按职责授予权限。Linux 可使用 sudo 按需提权，避免长期直接使用 root；Windows Server 则应限制管理员组成员，避免所有维护人员共用同一账户。密码应足够长且不重复使用；能使用密钥或多因素验证的管理入口，应优先启用。
安装安全更新并限制登录
先配置可信的软件更新来源，再安装系统安全更新。生产环境宜安排维护窗口，并先确认应用兼容性；更新后检查启动、核心服务和日志。Linux 可在确认密钥登录有效后，按维护策略限制口令登录和 root 远程登录；Windows 应关闭不需要的远程管理功能，并只允许授权维护人员使用。改动前备份相关配置，避免因语法错误锁住管理入口。
缩小暴露面，检查防护规则
- 查看监听服务。Linux 可用 ss 等系统工具查看监听端口，Windows 可通过系统管理工具核对入站规则及运行服务。逐项确认用途；不需要的数据库、文件共享、远程桌面或测试服务应停止并设为不自动启动。
- 启用主机防火墙。Linux 常见选择包括 nftables、UFW；Windows Server 可使用 Windows Defender Firewall。先建立必要的管理与业务放行规则，再启用防火墙，并从实际管理端验证连接。规则应按服务和来源范围收紧，不要为了省事设置全放行。
- 移除不需要的软件。检查编译工具、示例程序、旧版本运行环境和临时调试组件。删除前确认业务依赖，避免把系统组件误当成冗余软件。
日志、恶意软件防护与恢复验证
保持系统日志正常写入，并限制日志文件权限；对登录失败、权限变更、服务异常和磁盘空间不足设置检查机制。Linux 可检查 systemd journal 与认证日志；Windows 可查看事件查看器中的安全和系统记录。日志保留周期应结合磁盘容量、审计要求和维护能力确定，定期确认日志没有因空间耗尽而停止记录。
启用适合系统版本的恶意软件防护和安全策略，并确认防护状态、特征更新和告警能够被维护人员发现。完成初始化后制作受控备份或系统快照；恢复能力不能只凭“已创建”判断，应按维护计划验证能否还原关键配置或重建系统。以上步骤组成一份可执行的香港机房操作系统镜像的初始化安全清单，每次重新装机后都应重新核对，而不是直接沿用旧机器的结论。
常见问题
初始化时要不要马上开放业务端口？
不建议。先完成更新、账户检查和防火墙配置，再按实际业务逐项开放，并验证外部访问确实符合预期。
Linux 和 Windows 的流程一样吗？
顺序相近，具体工具不同。两者都要检查账户、更新、服务、入站规则和日志；Linux 常用 sudo、systemd 与 nftables 等工具，Windows 可使用本地账户管理、事件查看器和 Windows Defender Firewall。
系统更新是否可以自动安装？
安全更新可考虑自动化，但生产系统需结合应用兼容性和维护窗口。至少要有更新失败告警、重启安排和可用的恢复方案。
完成一次初始化后，后续还需要检查吗？
需要。软件更新、账户变化和业务部署都会改变风险面，应将配置复核纳入日常维护，并在重大变更后重新检查。