Один из лучших способов - всегда запускать только те службы, которые вам действительно нужны, на коробке, обращенной к Интернету.Поэтому, если вам нужны только apache и база данных, запустите только apache и базу данных на этом компьютере.Длинные случайные пароли для обслуживающего пользователя не разрешают прямой вход с правами root.
Относительно пользователя: добавьте пользователя с помощью useradd и заблокируйте доступ к оболочке для этого пользователя (usermod -s, установите оболочку входа в / sbin / nologin).Обычно учетная запись службы для запуска веб-сервера создается после установки веб-сервера.Если вы ограничите разрешения для этой учетной записи домашним каталогом веб-сервера и каталогами журналов, у вас все будет в порядке.
Что касается защиты базы данных: вы можете создать учетную запись пользователя БД, которая не имеет отбрасывания или создавать привилегии, нопоскольку вашему приложению необходим доступ к базе данных, кто-то, действующий с правами вашего веб-сервера или приложения, также будет иметь доступ к данным в базе данных.