记录阿里云被挖矿程序入侵

起因

最近在学习开源项目mall，买了一个最低配的阿里云ECS服务器
今早阿里云提示我ECS服务器上有挖矿程序（c_sh），CPU使用率维持在99%。
系统为centos8
阿里云告警提示（我手动处理了的告警，初始界面没保留）

同时我的docker镜像中多了一个felilca/ubuntu

这个镜像还创建了一个容器

处理

top命令查看到31911端口的c_sh进程占用90%多的CPU使用率。

先是让阿里云自己处理（杀掉挖矿程序），但是top命令查看这个挖矿程序又换了32366端口启动。

原本挖矿程序的路径是/proc/31911/root/root/c_sh，杀掉c_sh进程之后再找/proc/31911/root/root/c_sh发现文件不存在。top命令查看到它占用32366端口之后，找到/proc/32366/root/root/c_sh文件并强制删除。同时不再开放不必要的端口，之后系统正常，目前12小时没有再次发生告警。

原因

应该是我开放了一些端口，这个挖矿程序是通过15672端口（rabbitmq）向我的服务器下载了程序。阿里云也提示了我高危安全规则：

将自己机器绑定固定IP之后，在安全规则的授权对象选项改成自己的IP不知道可不可以解决这个问题（本来是0.0.0.0，表示所有IP）。

希望有经验的大佬可以指点一下服务器安全方面的知识