凌晨两点，某台开放22和443端口的VPS出现SSH口令失败、陌生账户尝试和短连接。翻查auth.log、Nginx日志与防火墙记录后，源IP从代理出口、共享NAT到陌生地址都有。痛点不是缺日志，而是扫描噪声淹没线索：Accepted就算入侵吗？转发地址可信吗？怎样拼出可复核时间线？
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：vps（全球云服务器），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
一、日志不是名单，而是事件链
先对齐三类证据：系统日志记录进程、用户和动作，如sshd、sudo、cron；认证日志记录结果、来源、会话与方式；网络日志记录连接方向、五元组、字节数和放行情况。统一换算为UTC，以主机、账户、端口、PID、会话ID建立关联键，保留原始行、采集位置和时钟偏差。只摘一条“Accepted”不能证明入侵。
判断时区分证据层级：访问端口是侦察，认证失败是尝试，成功认证只说明认证结果，形成会话后若又出现新增密钥、提权、计划任务、异常出站或文件改动，才可能构成入侵迹象。扫描通常停在前两层；暴力破解识别应聚焦同一端口的账户枚举、失败速率与节奏，再核对同账户是否成功。ServLlama可按时间窗聚合候选事件，结论仍须回到原始日志。
二、代理流量要分层验证
代理转发最易误判。X-Forwarded-For、Forwarded头及PROXY协议，仅在请求来自已知反代且链路由可信时采用；同时核对真实对端、真实IP模块与上游日志。多层代理须保留完整地址链，不能随意取最左或最右。SSH经跳板机或端口转发时，源IP常是堡垒机、网关或共享NAT出口，应分开标注“连接来自代理”和“认证来自代理”。
还原时间线可按五步复核：确定首见异常入站连接；圈定相邻窗口的认证失败；寻找同账户或同会话的成功记录；检查成功前后十分钟内的系统与网络动作；逐条标记已证实、待确认或噪声。只有“失败→成功→新增公钥→异常外联”连续出现，才能支持账号失陷；仅有代理后的单次失败，至多算扫描噪声。
常见坑包括日志轮转未留存、时区未统一、只看源IP、过早信任代理头，以及把CDN健康检查当攻击。结论应附时间偏差、字段来源和置信度，保留原始日志哈希，并允许新证据修正判断。时间线应从异常入站连接、暴力破解尝试延伸到认证结果与权限动作，形成可审计证据链。
五、暴力破解识别与认证日志关联
异常入站连接只说明对端发起连接，不能直接等同攻击。进行暴力破解识别时，应把网络与认证阶段分开：先用 ss、防火墙日志和抓包确认端口、频率、持续时间，再做认证日志关联，核对来源、目标账号、失败原因、会话编号与登录终端。失败密集、账号分散且随后出现成功或提权，才是强线索；少量重试、健康检查和监控误触应先排除。
来源集中并非必要条件，代理池或僵尸网络会分散来源，多个 IP 也可能共用 NAT 出口。除 IP 外，还应统计账号维度、失败组合、成功率和间隔，并与历史基线比较。Accepted 日志不等于攻击成功，密钥轮换和管理员测试也会产生成功记录，须核对会话、命令、计划任务和文件变更。
攻击时间线还原应按统一时区标记扫描、认证失败、口令命中、成功登录、提权和横向访问，再用会话编号、源地址及目标服务串联事件。发现异常后先备份易失数据，再重放日志，避免重启破坏现场。
六、代理流量甄别与处置闭环
代理流量甄别要区分云厂商 NAT、CDN/反向代理与攻击者代理。前两类常有固定网段和稳定节奏，但这些只是迹象。应核对 Nginx 与防火墙配置，确认可信上游后再解析 X-Forwarded-For 与 X-Real-IP；只有白名单代理传来的头才可采信，否则能被客户端伪造。同网段客户端也不能按代理属性一律封禁。
常见坑包括：把端口暴露直接当成扫描证据；忽略日志轮转；把同一 NAT 出口当成同一攻击者；未校准 NTP；只查 sshd 而漏掉 Web、PAM、sudo 与容器日志；封禁后未观察攻击者是否换账号、端口或代理。
可执行检查清单：①保存防火墙、认证、代理及云审计日志并记录时区；②导出近 7 天登录记录，按 IP、账号、端口统计 Top 20；③筛选失败后 10 分钟内成功及 sudo/su 异常；④关联连接与认证记录，生成时间线；⑤核验代理网段与转发头，只信任白名单；⑥检查账户、密钥、SSH 配置、计划任务、启动项和新增用户；⑦轮换凭据、收紧来源、最小化端口并复测；⑧封禁或限速后观察 24 小时，确认无换源重连。全程记录命令与回滚方式。
最终应形成从异常入站、认证尝试到会话行为的可复核证据链，而不是只收集 IP。闭环后再决定限速、封禁、凭据轮换和日志留存周期，既完成止损，也避免误伤正常业务。
喜欢 
顶
难过
囧
围观
无聊
