伊斯坦布尔服务器 SSH 被暴力破解排查实战

SSH 被暴力破解需及时处置。以下是实战。

一、发现迹象 - 大量登录失败日志 - 陌生 IP 反复尝试 - CPU 异常或陌生进程 - 出现可疑计划任务

二、确认 1) last / lastb 查看登录记录 2) grep 'Failed password' /var/log/secure 3) ss -antp 查看异常连接 4) 检查 crontab 与启动项 5) 检查是否有陌生账号

三、处置 - 立即封禁攻击 IP - 修改密码与密钥 - 杀掉可疑进程 - 清除后门与异常任务 - 必要时重装系统

四、加固 1) 禁用密码登录，仅用密钥 2) 修改默认端口 3) 部署 fail2ban 4) 限制来源 IP 5) 防火墙最小放行

五、监控 - 登录失败告警 - 异常进程与外联监控 - 定期安全巡检

六、预防 - 最小权限 - 定期改密与轮换密钥 - 安全基线加固

总结：暴力破解要快速封禁与清理，核心是禁用密码登录 + fail2ban + 最小放行并持续监控。