被攻击后的第一小时该做什么

确认服务器正在被攻击时，第一小时的处理质量决定损失大小。很多人本能地重启机器或者直接拔网线，这两个动作经常把取证时机白白流失。按下面的顺序做。 准备条件：一台能登录服务器的终端——攻击影响 SSH 时，用云服务商控制台自带的远程连接；另外备好服务商的工单入口，后面要用。 第一步，先取证。保存监控控制台的流量曲线截图，导出最近的访问日志与系统日志，必要时在业务口抓包留档： tcpdump -i eth0 -w /root/evidence.pcap port 80 or port 443 抓几分钟后按 Ctrl+C 结束，文件妥善保存。这些材料用于事后定性与申诉，少了它们，很多问题会变成说不清的悬案。 第二步，限流止损。判断是 CC 类攻击的，对集中请求的 URL 与来源 IP 做临时限频封禁；是大流量打端口的，在安全组里临时收紧入口，只保留管理 IP 可访问；测试站点、后台入口这类非关键服务，直接停掉，减少暴露面。收紧动作先宽后严，先拦最明显的来源，再逐条细调，避免一刀切把自己人也挡在门外。 第三步，联系服务商。通过官网 www.soonyun.com 的工单或在线客服报告攻击，写清受攻击的 IP、开始时间、观察到的攻击类型。已购高防的业务，此时确认清洗是否触发、是否有进黑洞风险；未购高防的，询问可用的清洗与临时防护方案。这一步通常比自己在机器上硬扛有效得多，入口处的清洗能力不是单机能替代的。 第四步，统一对外口径。业务受影响较大需要公告时，写"服务正在抢修，恢复时间另行通知"这类中性表述即可，不要公布攻击细节与进度猜测，避免引来二次关注。 验证环节：处置完回看监控，确认流量回落、服务恢复可访问。两个常见错误要避开：不留证据就重启，让追责无据；边处置边对外发情绪化声明，火上浇油。