凌晨两点，某台VPS告警：sshd数分钟内收到数千次密码认证失败，来源分散在十余个IP，用户名覆盖root、admin、ubuntu和git。只按失败次数封禁，可能误伤代理节点或部署工具；只看IP归属，又会把云跳板当成攻击者。关键是判断连接是否持续猜凭据、源IP代表谁，以及封禁会不会切断管理入口。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：4vps（海外服务器），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
一、暴力破解在认证日志中留下的痕迹
SSH密码爆破先完成连接与算法协商，再进入认证。服务端会在auth.log或journald记录失败密码、无效用户等事件；超过MaxAuthTries后终止会话。这些是失败登录审计证据，却不是攻击者身份：NAT、VPN和容器网关会共享出口IP，反向域名也可能失真。
判断时按时间、源IP、目标账号、认证方式聚合。大量无效用户常是枚举；许多账号各失败一两次便断开，更像扫描。连续密码失败接近爆破，但公钥配置、代理和自动部署也会产生类似记录。若日志只存结果、不存连接时间，看到的可能只是封禁后的重置，不能断言攻击已停止。
溯源须区分连接源与操作者。完整TCP握手使普通流量难以任意伪造源IP，但代理、端口转发和云网络会让日志地址落在中间节点。IP、ASN、地区、首次出现时间和历史行为应并列取证；地区只是线索，不能替代身份结论。
二、用失败节律和连接特征完成分级
有效信号来自组合：失败速率、离散账号数、重复比例、认证方式、会话时长和来源离散度。一分钟内同一IP试遍上千账号，可判为高风险扫描；每分钟数次却跨多天试探，可能是低速率爆破；账号集中、规律且随后登录成功，应按疑似失陷调查。
连接特征可降噪。认证前断开的短连接，常是客户端退出；反复出现认证失败上限，更像代理复用密钥过多。源端口随尝试变化符合自动化模式，但可被脚本控制，只能算弱证据。应给攻击源归因标注置信度，再决定临时封禁、长期限速或转向密钥登录加固。
常见坑有三个：只查当前日志，漏掉轮转文件；混用时区与夏令时；封禁22端口时忘了自己的来源也会被拦。上线前保留快照和命中样本，ServLlama可汇总多机登录事件与异常时间窗，再以白名单复核。结论应写明时间、IP、模式与账号，并标注证据边界。
从失败日志还原攻击链
攻击源归因不能只看来源 IP。请求可能来自代理、VPN、云主机或跳板机。应统一时区，按时间、目标账号、认证方式、源端口关联记录，再核查该地址是否扫描其他端口。短时间轮换大量账号多为口令喷洒；长期只打 root 或服务账号，更像定向攻击。
“登录失败”不等于入侵成功。攻击者取得凭据后，常执行系统命令，下载脚本、植入计划任务或替换授权公钥。应把同一时间窗内的 SSH 日志、journalctl、auditd、文件变更和网络连接放在一起分析。共享出口、密钥轮换也会留下相似轨迹，不能凭一次成功登录直接定罪。
暴力破解检测不能只依赖 fail2ban，它只能临时阻断，不能证明幕后身份，代理池仍可绕过。失败登录审计应留存日志，配置 LogLevel VERBOSE，把认证与密钥指纹送到独立日志系统，并检查轮转与时间同步。误区是取证时日志已被覆盖，或因时区错误把自动化任务误判为人工攻击。
密钥加固与应急封禁
密钥登录加固的重点是取消密码入口并缩小账号范围。每位管理员使用独立 Ed25519 密钥，设置 PasswordAuthentication no、PermitRootLogin no，同时关闭键盘交互式认证，并用 AllowUsers 列出账号。改配置时保留会话，另开终端验证新密钥、sudo 与网络规则，确认可用后再断开旧会话；没有备用通道时不要重启 sshd。
应急封禁策略遵循“先取证、再阻断、后观察”。确认恶意后，同时在主机防火墙和云安全组封禁，覆盖 IPv4、IPv6，写明有效期与解除条件；只封一层可能被绕过。高风险期可启用 MFA、限制并发和超时，并监控新账号、授权公钥、计划任务及异常出站连接。误封时经云控制台等带外通道恢复，避免反复改规则造成锁死。
可执行检查清单：①确认 NTP；②备份 SSH、auditd、进程和文件变更日志；③统计来源、账号与频率；④核验会话、命令与密钥指纹；⑤禁用密码与 root 远程登录；⑥用白名单限定账号；⑦双层封禁并测试 IPv6；⑧验证带外恢复；⑨部署告警与回滚流程。保存证据包与处置记录，定期复盘误报和漏封来源。
喜欢 
顶
难过
囧
围观
无聊
