做视频剪辑这几年，项目从本地硬盘搬到了云端，协作效率是上去了，但有一次差点出大事——团队用的云服务器被扫端口，还好提前设了安全组规则，不然素材全得暴露。
安全组不是后台运维的专利
很多人觉得安全组是IT才管的事，其实对视频团队来说也一样重要。你把4K工程文件传到云主机上，让外地同事远程调色，如果安全组没配好，等于把工作室的门钥匙挂在公网，谁都能试试能不能开。
默认开放22和3389？赶紧关掉
刚创建云服务器时，很多厂商默认开放SSH（22）或远程桌面（3389）端口。我们之前就吃过亏，有台主机三天两头被爆破尝试登录。后来在控制台把安全组改成只允许公司IP访问这些端口，清净多了。
比如你在阿里云或腾讯云控制台，找到「安全组」设置，删掉默认的全网段入站规则，换成：
<?xml version="1.0" encoding="UTF-8"?>
<SecurityGroupRule>
<IpProtocol>tcp</IpProtocol>
<PortRange>22/22</PortRange>
<SourceCidrIp>203.0.113.50/32</SourceCidrIp>
<Policy>Allow</Policy>
</SecurityGroupRule>这段配置的意思是：只允许IP为203.0.113.50的设备通过SSH连接。如果你在家办公，就把家里宽带的公网IP填进去。不确定IP？可以问运营商或者查ip.cn。
传素材走FTP？至少改个端口
有些老项目还得靠FTP传素材包，直接开21端口风险太高。我们的做法是：在安全组里不放行21，而是用高阶端口比如50021，再配合防火墙映射。这样普通扫描工具很难发现。
同时入站规则只给特定IP开路：
{
"Protocol": "tcp",
"Port": "50021",
"SourceIp": "198.51.100.0/24",
"Action": "Allow"
}相当于告诉系统：只有来自这个IP段的请求才能上传文件，其他一律挡在外面。
临时协作？用完记得关规则
上次帮朋友团队救急剪宣传片，给他们开了几天RDP权限。事情一忙完，我立马回控制台删了那条安全组规则。别小看这一步，很多数据泄露都是因为“临时开通”变成了“长期裸奔”。
现在我们流程里加了一条：每次新增安全组规则必须备注用途和截止时间，定期清理过期条目，就像清理本地磁盘缓存一样自然。
手机也能管安全组
云服务商基本都上了App控制台。有次我在地铁上收到告警邮件，说有人频繁尝试连接渲染服务器，打开手机App几下操作，直接封了那个IP段。等到了公司再细查日志，确认是自动扫描攻击。
别以为安全组是静态设置，它得跟着项目节奏动起来。剪片子的时候严一点，交付后可以再收紧，该关的端口一个不留。