SSH 爆破拦截实操：日志分析与自动封禁

发布时间:2026-10-22 10:26

SSH 爆破是公网服务器每天都要面对的背景噪音：自动化工具全天候扫描 22 端口，用字典撞弱口令。多数尝试不会成功，但日志被刷爆、偶尔得手的风险都真实存在。把拦截做起来，是服务器安全的第一课。 ## 先看清攻击规模 爆破证据在系统日志里。查看最近的失败登录记录，按来源地址统计次数，通常能看到少数地址贡献了绝大部分尝试。确认规模有三个用途：判断当前密码策略是否已经形同虚设、评估改端口与禁用密码登录的紧迫性、以及向服务商反馈时提供依据。看日志时留意成功登录里是否有陌生地址，那比爆破本身更值得警惕。 ```bash # 统计爆破来源地址与次数 grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head ``` ## 自动封禁的配置 fail2ban 是主流方案，原理是盯日志，按规则匹配失败记录，超过阈值后调用防火墙封禁来源地址一段时间。SSH 服务的配置核心是三处：监控的日志文件、失败次数阈值、封禁时长。阈值不必激进，普通服务器每小时的误输错次数有限，把阈值设得比正常失误高、比爆破频率低即可。 ## 验证方法 配置完成后做两件事验证。第一，用可丢弃的测试地址故意连续输错密码，确认来源地址被封禁、解封时间符合预期。第二，检查服务的运行状态与当前封禁列表，确认它在正常盯日志。验证环境务必与自己的常用出口隔离开，避免把自己锁在门外。 ## 注意事项 白名单是保命绳：把自己的常用地址加入忽略列表，再宽松也不为过，运维把自己锁在门外的故事每年都在发生。封禁之外，釜底抽薪的三件事优先级更高：改默认端口过滤掉大部分无差别扫描、禁用密码登录只留密钥认证、禁用 root 直接登录。顺云控制台的防火墙规则可以再加一层来源限制，双重保险后，爆破日志会安静下来。