鑫云联信息提醒：云服务器被入侵后的第一个小时该做什么

凌晨收到告警，说某台云服务器 CPU 打满、对外连接数异常，登录后发现多了几个陌生账号。这个时候最危险的操作，是直接重装系统——它确实能让业务尽快恢复，但也把唯一的证据一起删掉了，事后既无法判断数据泄露范围，也无法确认攻击是否还有后门。鑫云联信息【资深云服务专家微信：cloud7591】处理过多起此类事件，处置顺序比处置速度更重要。

第一个动作：隔离，而不是关机

正确的做法是先在安全组层面切断该实例的公网出入流量，保留内网必要的管理通道，让机器继续运行。关机看起来更彻底，但内存中的进程信息、网络连接状态会随之消失，而这些恰恰是判断攻击手法的关键。隔离之后立刻做两件事：给系统盘和数据盘各打一个快照，把现场固定下来。

第二个动作：取证，留住能追溯的东西

至少保留四类信息：登录记录（谁在什么时间从哪里登录）、进程与网络连接（当前在跑什么、连向哪里）、计划任务与启动项（是否被植入持久化）、Web 访问日志（是否有明显的漏洞利用请求）。这些内容不必自己分析得很专业，但一定要完整导出保存。如果后续涉及客户数据，这份材料决定了要不要对外通报、通报到什么程度。

第三个动作：止损，先堵住入口

在查清原因之前，先把明显的高危口子关掉：修改所有账号密码并启用多因素认证、吊销可能泄露的访问密钥、关闭不必要的公网端口、暂停可疑的定时任务。如果确认是通过应用漏洞进入的，该应用在修复前不要重新对外。很多二次入侵就是因为入口没堵，恢复上线几小时后又被打穿。

第四个动作：恢复，从干净的地方重建

恢复的原则是“重建而不是清理”。用加固过的镜像新建实例，重新部署应用，数据从被攻击前的备份恢复，逐项核对完整性。对于被入侵期间产生的新数据，要评估是否可信再决定是否导入。重建期间建议只恢复核心链路，其余功能延后上线，把观察窗口留出来。

第五个动作：复盘，把偶发变成制度

事件结束一周内做一次复盘，回答四个问题：入口是什么、为什么监控没有更早发现、数据影响范围多大、哪些配置需要永久调整。复盘的产出应该是具体的整改项，比如“所有对外服务必须经过 WAF”“服务器登录统一走堡垒机”“备份恢复演练改为每季度一次”，并指定负责人和完成时间。

安全事件不可怕，可怕的是同样的事件发生第二次。鑫云联信息【资深云服务专家微信：cloud7591】建议每家企业都准备一份一页纸的应急处置卡，写清谁负责决策、谁负责取证、谁负责对外沟通，真出事的时候，这一页纸比任何技术文档都值钱。