流量暴涨、CPU 异常、日志里陌生的登录记录——被入侵的实锤摆在眼前时，第一反应很重要。手忙脚乱地重启和乱删文件，只会毁掉证据、留下后门。按六步走，稳住局面。
应急六步
- 隔离断网：安全组只留自己的管理 IP，或直接断公网，先止血
- 保证据：打包
/var/log日志、crontab -l定时任务、last 登录记录 - 查入口：看授权键、新增账号、Web 应用的上传目录，弄清怎么进来的
- 清后门：杀可疑进程、删陌生定时任务和 SSH 公钥、下线 Webshell
- 修复：改所有密码和密钥，更新出漏洞的程序和组件
- 恢复观察：从干净的备份恢复业务，持续盯几天流量和对外连接
一个残酷的选择题
入侵时间久、后门多的机器，彻底重装系统往往比逐个排查更可靠。入侵者藏后门的手段常常比你找得深，重装、改密码、补漏洞三件事一起做，才算真的干净。
事后必做的复盘
把入口堵上，是复盘的全部意义：弱密码就换密钥登录，程序旧就更新，端口多就收紧安全组。同一个坑摔两次就不可原谅了。