被入侵后的三步：取证、重置、复盘

怀疑服务器被入侵，宁可白忙一场，不可掉以轻心；内存里的恶意样本重启就没了，动手前先固定现场。处置分三步：取证、重置、复盘，顺序不能乱。 取证：先保全再分析 能断网就先断网（控制台解绑公网或收紧安全组），防止攻击者继续操作，也防止数据继续外流。然后固定证据： ``` last -f /var/log/wtmp > ~/ir-last.txt ps auxf > ~/ir-ps.txt tar -czf ~/ir-logs.tar.gz /var/log ``` 网络连接也存一份：ss -antp 的输出落成文件，当时谁在连谁，事后再也查不回来。这批材料下载到本机保存，后续排查、必要时报警都用得上。 重置：全量换密，必要时重装 确认入侵属实后，别抱着侥幸修修补补。重装也别复用旧密码，新凭据从密码管理器生成，长度 16 位以上。系统盘重装最干净；保留数据处理的，装完先打全补丁，再恢复业务，完成三件事：所有账号密码全换（服务器、数据库、面板、后台），SSH 全部改密钥登录并禁用密码，API 密钥与证书重新签发——攻击者的后门就藏在这些凭据里。数据库若有暴露史，还要评估数据是否被导走，涉及用户信息的按合规要求处理。复盘会拉上所有相关人员，很多入口只有当事人才记得当时改过什么。 复盘：找到入口才能防住 对照取证材料回答三个问题：从哪个口进来的（弱口令、未修复的漏洞、泄露的密钥）；进来之后干了什么；哪些监控本该提前报警。写成一页纸：时间线、入口、损失、整改项，每项整改注明负责人和完成时间。经验上看，弱口令和过期组件占入口的大多数，这两项优先补。整改项要验收：两周后回头逐条检查，没完成的升级处理，别让复盘走形式。没有整改项的复盘等于没做。 入侵处置最忌两件事：急着恢复业务跳过取证，只改密码不查入口。三步按顺序走完，同类问题才不会二次发生。