凌晨2点，运维发现主机账号出现陌生公钥、异常会话和可疑定时任务。告警只给出同一出口IP：直接封禁会误伤共享NAT，继续观察又给攻击者留下驻留时间。难点不是确认“有人登录”，而是用认证日志审计、登录会话和持久化入口拼出时间线，定位凭据在何时被窃取和复用，并区分共用IP误报与真实接管。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：resip（海外服务器），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
登录链为何会被共享IP遮住
SSH认证日志回答“哪把钥匙、哪个账号、从哪里来”，却不说明登录后做了什么。应统一主机、账号、UTC时间与事件类型，再把成功认证同进程树、TTY或会话标识关联。经跳板机进入时IP可能不变，复用会话时甚至没有新登录记录。会话复用检测因此要比较会话起点、认证事件与进程关系，不能只数登录次数。
持久化入口排查用于验证登录是否转化为控制：核对authorized_keys新增项、systemd用户单元、cron任务、shell加载命令及新增可执行文件。陌生文件不能独立定罪，须与文件时间、创建进程和变更窗口互证。SSH密钥指纹要匹配资产台账中的批准值；公钥注释相同不代表可信，同IP多密钥也可能是共享用户。
用交叉证据划定误报边界
判断时列三张时间表：认证成功与失败、会话创建与命令、持久化变更，重叠点才是强证据。例如新authorized_keys在认证后出现，并以同一指纹建立会话、启动systemd脚本，链路才较完整。若只有网关侧公网IP记录，没有主机侧会话、指纹或变更痕迹，应标记待核实，不能因共享出口直接封禁。
误判常源于上下文断裂：先核对NAT、堡垒机与ProxyJump的地址转换，再排查ControlMaster复用、screen或tmux长会话、日志轮转缺口，并校正时区。并发失败不等于暴力破解后自动中止。ServLlama可汇总多源事件并保留关联证据，把告警从单一IP扩展到账号、密钥和主机。
隔离门槛是主机侧出现未授权密钥、命令或持久化项。确认后先阻断入口并保全会话证据，再终止关联进程、清理持久化，最后按凭据轮换顺序，从受管主机到跳板机、依赖服务依次处理；仅有共享出口IP迹象时，应限速、增强认证并人工复核，贸然清理会破坏正常环境。
从认证记录还原完整登录链
认证日志审计不能只看“登录成功”这一行，而应按时间串联 sshd、sudo、PAM、应用审计及堡垒机记录。排查时先统一时区，再提取来源地址、目标账号、认证方式、进程标识和会话编号，区分扫描失败、密码爆破、密钥认证及提权行为。公网地址相同不代表同一攻击者，NAT、代理和跳板机都会造成地址重叠，因此还要结合 User-Agent、登录时段、操作序列和目标资产判断。
针对 SSH 密钥，应分别核对私钥持有者、服务器上 authorized_keys 的内容以及客户端 known_hosts 中的SSH密钥指纹。可用 ssh-keygen -lf 对公钥计算指纹，再与密钥清单、提交记录和资产台账比对。要注意 known_hosts 保存的是主机密钥指纹，不能据此证明登录者身份；跳板机后的源地址也可能掩盖真实客户端。发现未知指纹后，应先保存证据并限制来源，不要立即删除 authorized_keys，否则可能切断唯一的应急通道。
如果日志中出现同一会话编号在两个地点同时活动，或相同账号短时间拥有多个互斥会话，应启动会话复用检测。检测可比较会话 ID、源地址、端口、终端、启动命令和父子进程关系，并检查是否存在共享 SSH Agent 转发的套接字、复用 VPN 出口或代理凭据。发现异常时先冻结相关会话并保留内存、进程树和网络连接，再判断是账号共享、自动化运维，还是攻击者复制会话凭据。
定位持久化入口并按序轮换凭据
取得控制权后，攻击者通常会留下再次进入的路径。持久化入口排查应覆盖 authorized_keys、sshd_config、用户 shell 启动文件、cron/at、systemd 服务与定时器、PAM 配置、LD_PRELOAD、容器启动参数、SUID 文件以及云环境中的实例元数据访问权限。每项都要核对文件所有者、修改时间、内容差异和实际生效配置，避免只检查当前用户目录而忽略全局路径、数据库插件或编排平台模板。
凭据轮换顺序必须兼顾止损与可恢复性：先确认应急账号和带外控制可用，再撤销异常会话；随后轮换暴露过的人员 SSH 密钥、管理员密码、API 令牌、数据库口令、VPN 凭据及自动化任务密钥；接着更新依赖这些凭据的堡垒机、配置管理和备份系统；最后禁用旧密钥、删除可信主机缓存中的陈旧记录，并重新登录验证。切勿先改密码再删密钥，否则无法区分配置错误与攻击行为，也可能把合法运维锁在门外。
最终可执行检查清单是：核对全部认证与会话日志，标记未知账号、密钥指纹及异常并发；检查全部持久化入口并与基线逐项比对；隔离受影响主机和账号，采集进程、网络及文件证据；按凭据轮换顺序替换密钥、密码和令牌；撤销旧会话与旧凭据；从干净终端验证登录、提权、审计告警和告警责任人，确认攻击链已经闭合后再恢复业务。
喜欢 
顶
难过
囧
围观
无聊
