发现异常进程、网页被篡改或资源突然升高时，先别急着清理文件、重启服务。服务器被攻击后的日志排查与恢复，关键是保留证据，再把登录、系统事件、网络连接和文件变化按时间串起来。下面按七个常见问题说明具体做法。
1. 第一件事是看日志，还是先止损？
先判断攻击是否仍在继续。若服务器正在大量外连、发送垃圾流量或被持续写入，可先通过云平台安全组或网络设备限制非必要通信，同时保留管理通道；不要直接删除可疑文件。条件允许时先创建磁盘快照，并记录告警时间、主机时区、操作人和采取的措施。若无法安全保全而业务仍受损，应优先隔离，之后记录隔离时间。
2. 怎样确定该查哪个时间段？
以首次告警前后为中心，先查前后数小时；若入侵时间不明，再扩展到最近数天，并结合日志保留周期调整。统一时间基准：记录服务器时区及时间同步状态，注意应用日志、系统日志和集中日志平台可能存在时差。查询时可用 systemd 的 journalctl 按服务和时间筛选，例如指定起止时间；不要只搜告警发生的那一分钟。
3. 登录日志里哪些迹象值得追？
关注不熟悉的成功登录、短时间内连续失败后出现成功、非预期时段的管理员权限操作，以及新建账户或授权变化。失败登录单独出现不等于入侵，自动化扫描也会产生大量失败记录；更重要的是把成功认证与后续命令、进程启动和配置修改对应起来。若使用集中身份认证，还要同时核对身份服务侧的审计记录。
4. 如何定位异常进程和持久化入口？
把进程创建时间、运行账户、父进程、启动参数和外连目的地放在一起看。检查计划任务、系统服务、自启动配置及近期修改的脚本；Linux 环境可参考 auditd 记录的文件访问与权限变更，Windows 环境可查看“事件查看器”中的安全和系统事件，若已部署 Sysmon，也可利用进程与网络连接事件补充线索。Sysmon 未安装或未启用相应规则时，不会自动补出历史记录。
5. 日志没有异常，能否排除入侵？
不能。日志可能未开启、已轮转、被篡改，或只覆盖部分组件。检查时间戳是否中断、磁盘空间是否耗尽、日志服务是否停止，并与云平台流量记录、终端告警及备份时间对照。服务器被攻击后的日志排查与恢复不能只凭一条日志下结论；证据不足时，应把结论标为待确认，而不是直接认定安全。
6. 怎样判断受影响范围和入口？
从最早的可疑成功登录或文件改动向前追查：对应账户是否复用弱口令、暴露管理端口，应用是否存在未修补组件，随后是否出现权限提升、批量读取或异常外连。比较受影响主机与同类主机的账户、服务和文件差异，可帮助判断是否横向扩散。日志能说明发生过什么，但未必能单独证明数据是否被读取或外传。
7. 清理后怎么恢复，怎样确认有效？
- 保留快照和相关日志副本，限制文件写入，记录证据来源与时间。
- 确认入口后修补漏洞或关闭不必要服务；从可信设备轮换密码、密钥和令牌，撤销不再需要的账户权限。
- 若系统完整性无法确认，优先使用可信镜像重建，再恢复经过检查的业务数据；不要把可疑程序和配置原样搬回。
- 恢复后观察认证、进程、文件变更和外连记录。至少覆盖一个业务运行周期；周期较长的任务还应延长观察，并确认告警与日志采集正常。
常见问题
需要先关机吗？
不一定。关机可能丢失内存中的线索；若攻击仍在造成损害，先隔离网络并保留可用证据，再按事件处置流程决定是否关机。
可以直接删除可疑文件吗？
不建议。先记录路径、时间和哈希等信息并保全副本；未经分析删除，可能破坏证据，也可能遗漏其他持久化入口。
恢复后是否还要查日志？
要。服务器被攻击后的日志排查与恢复应以持续观察收尾，重点确认异常登录、账户变更和可疑外连是否再次出现，并验证备份与告警机制可用。
