马尼拉服务器被入侵后的应急处置实战

服务器被入侵需快速处置。以下是应急实战。

一、发现迹象 - CPU/流量异常 - 陌生进程或账号 - 网站被篡改 - 收到告警

二、立即隔离 1) 断开外网或加白名单 2) 保留现场快照 3) 不要立即重启（保留证据）

三、排查 1) 查异常进程和连接 2) 查登录日志和命令历史 3) 查定时任务和启动项 4) 查被改文件和 webshell

四、清除 - 杀恶意进程 - 删恶意文件和后门 - 修改所有密码和密钥 - 修复漏洞入口

五、恢复 1) 从干净备份恢复 2) 更新系统和应用补丁 3) 加固安全配置 4) 上线后持续监控

六、复盘 - 分析入侵路径 - 完善防护 - 加强监控告警

七、预防 1) 及时打补丁 2) 强密码和密钥登录 3) 最小权限 4) 入侵检测

总结：入侵应急要先隔离保留证据，再排查清除、干净恢复并复盘加固。