1. 快速定位异常日志
优先检查 /var/log/auth.log（Linux）或安全事件日志（Windows），筛选包含“Failed password”“Invalid user”等关键词的记录。通过时间排序可快速识别集中爆破时段，例如非工作时间的连续登录失败事件。
- 单IP高频SSH登录失败（>5次/分钟）
- 非常用端口（如3306）的访问请求
- 异常HTTP响应码（403/404/500）集中出现
2. 分析可疑行为模式
使用 grep 和 awk 工具进行日志聚合分析：
- 统计TOP 10可疑IP：
awk '/Failed/{print $11}' auth.log | sort | uniq -c | sort -nr - 识别非常用路径访问：
grep -E 'POST /admin|GET /.env' nginx/access.log - 检测SQL注入特征：
grep -i 'union\|select\|sleep(' access.log
3. 应急响应措施
确认攻击后立即执行：
- 使用
iptables封禁可疑IP段：iptables -A INPUT -s 192.168.0.0/24 -j DROP - 重置受影响账户密码并启用双因素认证
- 创建系统快照后隔离被篡改文件
4. 加固安全策略
长期防护建议：
- 限制SSH仅允许密钥认证
- 部署实时入侵检测系统（如Fail2Ban）
- 配置日志自动归档与分析（ELK Stack）
- 启用Web应用防火墙过滤恶意请求
通过日志时间序列分析、异常特征匹配和自动化工具联动，可在30分钟内完成90%的初级攻击识别。建议每月进行日志审计演练，并建立分级响应预案以应对不同风险级别事件。
本文由阿里云优惠网发布。发布者：编辑员。禁止采集与转载行为，违者必究。出处：https://aliyunyh.com/521612.html
其原创性以及文中表达的观点和判断不代表本网站。如有问题，请联系客服处理。
