一、服务器被攻击的紧急响应流程

1.1 立即隔离受攻击服务器

当发现服务器异常（如CPU占用率100%、异常网络连接、数据泄露警告）时，首要任务是切断攻击路径。

• 物理隔离：若为本地服务器，断开网线或关闭物理网络接口。
• 云服务器操作：在云控制台（如AWS、Azure）中解除弹性公网IP（EIP）绑定，或通过安全组规则禁止所有入站流量（仅保留管理端口如22/443的特定IP访问）。
• 示例命令（Linux系统）：

  # 临时关闭网络接口
  sudo ifdown eth0
  # 或通过iptables阻断所有入站流量（需谨慎操作）
  sudo iptables -P INPUT DROP

1.2 保留攻击证据

攻击溯源依赖完整的日志和系统快照，需避免覆盖关键数据：

• 日志收集：备份 /var/log/ 目录下的 auth.log、syslog、nginx/access.log 等文件。
• 内存快照：使用 gcore 工具生成进程内存转储（适用于Linux）：

  gcore <PID>  # PID为可疑进程ID

• 磁盘镜像：通过 dd 命令创建系统分区镜像（需在隔离环境中操作）：

  sudo dd if=/dev/sda1 of=/mnt/backup/system.img bs=4M

1.3 评估攻击影响范围

通过以下步骤确定攻击是否扩散：

• 横向移动检测：检查其他服务器是否存在相同漏洞（如未修复的CVE-2021-44228 Log4j漏洞）。
• 数据泄露验证：搜索敏感文件（如数据库备份、配置文件）是否被外传。
• 工具推荐：使用 Lynis 进行系统安全审计：

  sudo lynis audit system

二、攻击溯源与漏洞修复

2.1 攻击类型分析

常见攻击手段及特征：

• DDoS攻击：流量激增导致服务不可用，可通过云服务商的DDoS防护（如AWS Shield）识别。
• Web应用攻击：SQL注入、XSS漏洞，检查Web日志中的异常参数（如 ' OR 1=1--）。
• 恶意软件感染：通过 rkhunter 或 ClamAV 扫描后门程序：

  sudo rkhunter --checkall
  sudo clamscan -r /home

2.2 漏洞修复步骤

1. 补丁更新：优先修复已知漏洞（如通过 apt upgrade 或 yum update）。
2. 配置加固：
   • 禁用不必要的服务（如 systemctl disable telnet.socket）。
   • 修改默认端口（如将SSH从22改为2222）。
3. 密码重置：强制所有用户更换高强度密码（包含大小写、数字、符号）。

2.3 案例：Apache Log4j漏洞应急处理

1. 识别受影响服务：

   grep -r "org.apache.logging.log4j" /opt/

2. 升级Log4j版本：下载最新版替换 log4j-core.jar。
3. 设置系统属性：在启动脚本中添加 -Dlog4j2.formatMsgNoLookups=true 临时缓解。

三、长期防御体系构建

3.1 网络层防护

• 防火墙规则：仅开放必要端口（如80/443），限制源IP范围。
• WAF部署：使用ModSecurity或云WAF过滤恶意请求：

  # ModSecurity示例配置
  SecRuleEngine On
  SecRule ARGS:param "@rx (select.*from|union.*select)" "id:1,deny,status:403"

3.2 主机层防护

• 入侵检测系统（IDS）：部署 Suricata 或 Snort 实时监控流量。
• 文件完整性监控：使用 AIDE 检测关键文件变更：

  sudo aide --init  # 初始化数据库
  sudo aide --check # 定期检查

3.3 数据备份与恢复

• 3-2-1备份策略：3份数据副本，2种存储介质，1份异地备份。
• 自动化备份：通过 BorgBackup 加密备份：

  borg init /mnt/backup/repo
  borg create /mnt/backup/repo::archive-$(date) /etc

四、合规与法律应对

4.1 数据泄露通知

根据《个人信息保护法》，需在72小时内向监管部门报告数据泄露事件，并通知受影响用户。

4.2 攻击取证合作

与网络安全机构合作，提供日志、内存转储等证据，协助追踪攻击源（如通过IP地理位置分析）。

五、持续安全优化

• 红队演练：定期模拟攻击测试防御体系。
• 安全培训：对开发、运维人员进行OWASP Top 10漏洞防范培训。
• 威胁情报订阅：接入CVE、MITRE ATT&CK等平台获取最新攻击手法。

总结：服务器被攻击后，需通过“隔离-溯源-修复-防御”四步闭环处理。企业应建立自动化监控体系（如Prometheus+Grafana），将安全融入DevOps流程（如通过GitLab CI扫描代码漏洞），从被动响应转向主动防御。