疑似被攻击的第一时间做什么

页面突然打不开、带宽跑满、后台出现陌生登录——头十分钟的处置，决定了后面是小事还是大事故。按下面的顺序来，别一上来就重启。 准备条件 保持冷静，另开一个窗口专门记录，把每步命令和输出都存到 /tmp/incident-$(date +%F).log。记住一个前提：重启会清掉现场，取证永远优先。 第一步：抓现场 登录后先看谁在线、什么在跑、连着谁： ``` w top -b -n 1 | head -30 ss -antp | awk '{print $1}' | sort | uniq -c ``` 新起的进程单独看一眼，攻击脚本往往刚启动不久。把 /var/log 下的近期日志拷到本机一份，关键目录 tar 一份——攻击者一旦得手，第一件事就是删日志。 第二步：限流止损 确认攻击入口后先收缩暴露面：防火墙只放行必要端口，可疑来源段直接拉黑： ``` firewall-cmd --add-rich-rule='rule family=ipv4 source address=1.2.3.0/24 drop' ``` 限流从宽到严分步来：先限单 IP 并发，再限来源段，都压不住才考虑临时收起入口页。Web 攻击用限速挡，Nginx 配 limit_req；数据库这类内部端口，确认不对公网开放。 第三步：联系服务商 流量型攻击（DDoS，分布式拒绝服务）自己扛不住，尽快提工单或打电话，说清 IP、现象和开始时间。联系时把已采集的信息一并同步，服务商侧能看到流量画像，两边一对，攻击类型很快能定性。业务经常被攻击的，可以提前升级高防，比如顺云高防云服务器 S2 标配 60G 防御，别等打起来再补课。 第四步：对外公告 影响面大时，在状态页或公众号发一条简短说明：现象、正在处理、预计恢复时间，留客服渠道。公告别写技术细节，只说影响和进展，细节留给事后复盘。沉默比故障本身更伤信任。 常见误区与处理 先重启再取证，等于替攻击者清现场；只在群里口头说、不留文字记录，复盘时没有依据；防火墙反复改又说不清改了什么，越改越乱；还有个常见错误是忙着争论原因，错过黄金处置时间，先止损再讨论。每一步落一个文件，处理完统一归档，后面申诉或复盘都用得上。