攻击者活动过的服务器一定会留下痕迹，日志是发现这些痕迹的第一手来源。很多入侵事件在早期阶段就有日志信号出现，只是因为运维人员没有建立有效的审计机制错过了最佳阻断时机。攻击者可以在被攻陷的系统中植入后门、清除进程列表，但很难做到彻底抹除所有系统日志。

系统登录日志中的异常信号

登录日志是最直接的入侵信号来源。重点关注凌晨时段突然出现的成功登录记录，检查来源IP的属地是否与业务区域严重不符。使用last命令查看最近记录关注每个用户的登录时间、来源IP和持续时长。对于异常IP立即在防火墙中封禁并关联其他服务器日志确认是否为同一攻击者。同时检查w命令中当前登录的会话是否有未知来源的连接。在认证日志中观察到多条连续失败后紧跟成功记录的模式，几乎可以断定暴力破解工具试出了正确的密码。sudo执行记录也要逐条确认是否存在越权操作行为。

命令历史记录与行为审计

攻击者在服务器上执行的操作会记录在历史命令文件中。查看bash历史文件，如果发现大量文件操作、下载命令和权限修改命令说明可能已被入侵。关注是否有使用wget或curl从外部下载可执行文件的操作，检查是否有修改系统配置或创建用户和更改密码的命令。同时注意命令历史是否被清空过，文件丢失本身就是严重的安全告警信号。对于核心运维人员建议使用专门的命令审计工具记录所有操作并实时发送到远程日志服务器，防止被本地删除破坏证据。

文件完整性监控发现后门植入

攻击者入侵后往往在系统中植入后门文件。文件完整性监控工具通过定期计算关键系统文件的哈希值对比基准值发现变更。AIDE是常用的开源方案，首次运行建立签名数据库后定期执行检查。重点关注系统二进制文件、动态链接库和Web目录的变化。Web后门通常隐藏在图片或JS文件中，通过检查可疑代码可以识别。监控计划任务文件和开机启动脚本的变化，攻击者经常通过定时任务维持持久化访问。文件创建时间异常也是线索，核心系统文件创建时间晚于系统安装日期需要仔细核实。

网络连接与全局日志分析

攻击者与外部通信会暴露在网络连接日志中。使用ss查看当前连接注意是否有连接到非业务相关的目标IP和端口。建立日常网络连接基线，所有偏离基线的连接都需要人工确认。DNS查询日志同样重要，攻击者的域名解析请求会留下记录。搭建ELK或同类日志集中平台将所有服务器的日志汇集到统一存储中，配置跨服务器的关联分析规则实现自动化检测。日志保存周期至少满足监管要求，所有日志时间通过NTP做全局同步校准。信服无限建议引入集中日志分析平台，结合告警规则实现入侵的实时发现和快速响应。