服务器被扫描爆破该怎么处理

新买的机器挂上去不到一周，日志里就开始出现各种陌生 IP 的登录失败记录，一天几百次算正常，运气差的时候一晚上被撞几万次。更糟的是某天发现 CPU 一直满、带宽跑满、账单上流量莫名其妙用光了。大多数人第一次遇到这种事会慌，不知道从哪查起。这篇按实际处理顺序讲：常见的入口、能自查的指标和最容易漏的配置、真被攻破了怎么收尾。

服务器被爆破都有哪些征兆

最直接的是登录日志。Linux 上翻授权日志，会看到大量来自同一网段、用户名随手猜的失败记录，间隔几秒一条，用的是常见默认账号。日志量一大，真正值得看的那几条就被淹没了，先按来源聚合再逐条看。把可疑来源和正常登录分开保存，后续做黑名单也有依据。同一条记录反复出现并不可怕，可怕的是某一条记录里带着成功的标记。

第二类征兆是负载异常。业务没变化，处理器却长期在七成以上，风扇一直响，登录进去看进程列表有个不认识的程序占了大部分核，名字还伪装成系统组件的样子。养成上线前先记一份正常进程清单的习惯，异常出现时一眼能认出来。对照内存占用和文件句柄这两个维度，挖矿类程序的画像相当固定。

第三是流量异常。监控里出站流量突然比平时高好几倍，开的连接数远超业务需要，多半是这台机器被当成中转或者挖矿节点在用，正常的业务流量不会长时间保持这种陡增的形状，短时高峰过后能自己回落才是健康的状态。

第四是文件变化。系统目录里冒出陌生定时任务、陌生启动脚本、密钥文件被追加了未知公钥，这些痕迹往往说明登录权限已经被拿走。看到其中任何一条都别先急着重装，先留证据、断外网、导出日志，把时间线和路径理清，后面才知道是哪一个入口被突破的。

登录方式端口和账号该怎么改

密码登录是最常见的入口。改成密钥登录并关掉密码认证，能挡掉绝大多数自动爆破，这一步的收益比装任何防护软件都高。改造之前先把新密钥在其他会话里验证一次，避免把自己锁在门外。

密钥要设口令。不带口令的私钥文件一旦泄露，等于门锁和钥匙一起送人，设了口令至少多一道确认。私钥不要留在开发机桌面，更不要提交进代码仓库，管理终端上只保留当前需要的那一份。多台机器共用一套密钥虽然省事，一旦泄露就是成片失守。

默认端口要换掉。改端口不是安全措施，只是把日志里的噪音降下来，让真正值得关注的异常显出来，别把它当成主要防线。

禁止直接用最高权限账号远程登录。日常用普通账号登录，需要提权时再切换，操作留痕也清楚，误操作的影响面也小。

关掉不用的登录方式。只开一种协议，把其他通道全部注释掉，减少入口数量比事后加固每个入口省力。

限制来源。管理入口只允许固定网段访问，出差换网络时临时放开再收回，比长期对全网开放安全得多。

登录失败次数要做限制。连续错几次就锁一段时间，自动脚本撞上这道墙基本就放弃了，人工误输入也不会被永久锁死。

操作记录要留。把登录、提权、关键命令写进独立日志，出了事能倒查是哪一步被利用，这个习惯比任何一次加固都值钱。

防火墙和限速怎么配

防火墙按最小必要开。对外只放业务端口，管理端口只对内网或指定来源，其余全部拒绝，默认策略设成拒绝而不是放行。规则顺序要先精确再宽松，一条大范围的放行写在前面，后面的拦截规则就全部失效了，配置顺序是很多人吃亏的地方。改完规则先在保留会话里测试连通性，再关掉旧会话，否则一次手误就把自己关在外面，只能走控制台救援，代价远高于多花两分钟验证。

出站也要管。不少事故的损失来自机器被拿去做外联，限制出站端口和流量上限，被攻破后也能把影响压在可控范围里。业务需要的出站目标列成清单，只放行这些，新增目标走一次登记，长期下来暴露面会小很多。数据库和缓存这类只给本机用的服务，要绑定在回环地址上，不要图方便监听全部地址，那等于把服务直接摆到公网上，扫描器几小时就能找到它。

速率限制放在边缘。给单 IP 的连接数和请求频率设上限，小规模的洪水攻击在应用层就被挡掉，不至于把整个端口打满。限速值按真实业务峰值定，定得太紧会把正常用户一起挡住，定得太松等于没设，先观察一周流量曲线再落数值。这几条规则配好，在香港独服入门档这种配置上跑起来毫无压力，加固成本主要是时间。想再稳妥一点，把管理入口和业务入口分到两台机器，被攻击时至少仍有一条能进去的路。

流量突然暴涨先查哪里

先看连接。列出当前所有连接和状态，按来源 IP 排序，异常的大多集中在少数几个地址，或者呈现出规律的轮换。连接的时间分布也能看出端倪，业务低谷期出现大批连接基本可以判断不是自家用户。

再看进程。对比流量上升时刻新出现的进程，看它的启动来源、打开的文件和网络连接，很多挖矿程序会伪装成常见服务名。把可疑进程的完整路径和启动者查一遍，从临时目录、用户目录拉起来的都值得警觉。

第三看定时任务。系统级和用户级都翻一遍，恶意程序常靠定时任务维持存活，删掉进程但不清理定时任务，过几分钟又会自己起来。用户级的定时配置比系统级的更容易被忽略，登录后自动执行的位置要一起检查。

第四看账号。检查授权文件里是否多出陌生账号和公钥，检查提权配置是否被放开，这两个位置最容易被留下后门。第五看日志有没有被清理，攻击者通常会删记录，日志突然中断或者时间跳变，本身就是一条强信号。日志被清通常发生在提权成功之后，这个时间点往前推半小时，往往就是入口。

查清之后先断网再处置。留着外网连接做清理，等于一边清理一边被重新控制，先把入口封死，再在本地逐步处理。处置过程中每一步都留一份快照，事后复盘和报案都用得上，也方便对照时间线判断影响范围。

被挖矿或当跳板之后怎么办

结论要早下。确认系统文件被改动、账号被添加之后，别再试图逐项清除，重装系统并只恢复业务数据，是最省时间也最干净的做法。重装前把业务清单、依赖和对外端口列全，避免恢复之后才发现少装了一个组件。装完之后再补一次基线配置，密钥、防火墙、日志这几项照着清单逐条过。

恢复前先换凭证。所有在这台机器上用过的密钥、数据库口令、接口令牌全部作废重发，不要沿用旧的一套。改完新的凭证再登录一次确认能进，免得恢复过程中又多一道阻碍。数据库口令和接口令牌也一并重置，很多跳板事故就是从旧令牌被复用到新环境开始的。

业务代码和数据要检查。从备份里恢复时，先确认备份本身没被污染，打包时间点和入侵时间对照一下，早于入侵的备份更可靠。恢复之后先跑一遍完整的功能自检，再对外开流量，比边跑边补更稳。恢复当天的日志要盯紧一点，异常连接重新出现说明仍有没清干净的地方。

复盘要落到具体入口。是弱口令、是暴露的管理面板、还是第三方组件漏洞，写清楚才能避免下一次从同一个地方被突破。复盘写清三件事：入口、扩散范围、修复动作，下次同类事件能少走弯路，也方便对外说明和复盘归档。入口这一项尽量精确到具体服务配置，写「弱口令」太笼统，下次还会踩同一个坑。

便宜档机器值不值得为安全多花钱

安全投入和机器价格关系不大。一套规范的密钥登录、防火墙和日志，在入门档机器上也能做到，成本主要是时间而不是钱。

该花的钱在两件事上：一是能扛住小规模攻击的端口和流量额度，二是能留住历史的日志空间。前者影响被攻击时的可用性，后者决定事后能不能查清。入门档的配置对多数站点够用，十核二十线程、三十二 G 内存、八百 G 固态、千兆端口、十 T 流量，跑一个中等访问量的站点加上日志和备份，余量是有富余的。

中档机器的意义在于留出应对空间。同样的业务放到二十四核、双千兆端口、四十 T 流量的档位，被攻击时仍有调整余地，不用第一时间就被打满。

两台的分工值得考虑。一台对外提供服务，一台做备份和管理入口，管理面不直接暴露在公网，出问题时恢复也快。

预算有限时的顺序：先把登录方式和防火墙做对，再看端口和流量额度，规格放到末尾再考虑。反过来先堆配置、安全随便设，反而容易在第一次被扫时就出问题。这套顺序在预算紧张的阶段尤其适用。

这类机型在云途香港独服清单里按档位排得很清楚，入门档的 DS.ES.F 和主力档的 DS.ES.A 差在核数、端口和流量额度上，按自己的访问量和日志留存需求挑一档就够，不必为了安全感直接上最高的。配置看得懂、策略配得对，比多花钱更管用。