服务器被攻击后，如何快速恢复业务？一份实战应急清单

先别急着重启，搞清楚发生了什么

凌晨三点收到监控告警，网站打不开，后台登录超时。很多人的第一反应是重启服务器，但这往往会让攻击者留下的痕迹消失，甚至触发二次攻击。正确的做法是先通过备用通道（比如带外管理或SSH备用端口）登录，执行几条基础命令：查看当前连接数、CPU和带宽占用、最近登录记录。如果发现大量来自同一IP段的异常连接，基本可以判断是DDoS或CC攻击。

如果服务器已经无法登录，但业务还能勉强访问，优先在防火墙层面封禁异常IP段，而不是直接关机。关机意味着业务完全中断，而封禁可以争取排查时间。

止损三步：隔离、取证、恢复

第一步是隔离。把受影响的服务器从负载均衡或DNS解析中摘除，避免攻击流量继续打进来，同时保护数据库等其他内网资产。如果业务是多台服务器集群，先隔离单台问题节点，不要一次性全部下线。

第二步是取证。保留系统日志、Web访问日志、进程列表和网络连接快照。很多攻击者会留后门或者定时任务，删掉日志等于自断线索。可以用tar打包关键日志目录，下载到本地分析。

第三步才是恢复。确认漏洞入口后，修补漏洞、修改所有密码、清理可疑进程和计划任务，再逐步恢复业务。如果攻击是流量型的，直接切换到高防线路或接入清洗服务是最快的方式。

• 流量型攻击：切换高防IP或接入清洗中心
• 应用层攻击：开启WAF、限制请求频率
• 入侵型攻击：重装系统、从备份恢复数据

对于经常被DDoS盯上的业务，建议直接部署在美国硅谷高防服务器 XXXVII上，100M带宽配合高防清洗，能扛住常见的流量攻击。如果业务主要面向国内用户，洛杉矶高防服务器47也是低延迟的选择，Platinum-8168*2的配置足够应对中等规模的攻击。

恢复之后，这些收尾工作不能省

业务恢复不代表事情结束。需要复盘攻击路径：是弱密码被爆破，还是CMS漏洞被利用？如果是前者，强制所有后台账号启用复杂密码和二次验证；如果是后者，及时更新程序版本并关闭不必要的端口。

另外，建议部署一套轻量级的监控告警，比如对CPU、带宽、连接数设置阈值，一旦异常立即通知。很多攻击在造成大规模影响前都有征兆，早发现十分钟，恢复成本可能差十倍。

最后，定期备份是底线。无论防御多强，都要假设最坏情况会发生。把备份放在异地或者对象存储里，确保攻击者删不掉。