VPS云服务器SSH暴力破解应急响应预案

一、识别SSH暴力破解的典型现象

当你的vps云服务器遭遇SSH（安全外壳协议，用于远程管理服务器的加密传输协议）暴力破解时，通常会出现四类可观测异常。系统日志触发大量失败登录记录，Debian/Ubuntu系统的/var/log/auth.log或CentOS/RHEL系统的/var/log/secure中，频繁出现“Failed password for root”“Invalid user”等条目。SSH连接异常，远程连接时反复卡顿、超时，或多次输入正确密码仍被拒绝。资源占用异常，CPU或内存使用率无预警波动，可能伴随未知进程持续占用资源。防火墙告警，若配置了基础防火墙，会收到针对22端口的高频连接请求告警。

二、快速诊断暴力破解攻击

针对vps云服务器的SSH暴力破解攻击，可通过两步快速定位攻击状态。

2.1 核查系统登录日志

执行以下命令定位攻击源与攻击规模：

grep 'Failed password' /var/log/auth.log | grep "$(date +%H)" | wc -l

该命令可统计1小时内失败登录次数。

grep 'Failed password' /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr | head -10

此命令能提取高频攻击IP。若某IP的失败登录次数超过100次/小时，可判定为主要攻击源。

2.2 检查当前连接状态

执行

ss -ntu | grep :22

查看所有与22端口相关的连接，若出现大量来自同一IP的TIME_WAIT或SYN_SENT状态连接，可确认正处于攻击持续阶段。

三、应急处置核心步骤

针对vps云服务器的SSH暴力破解攻击，需按优先级执行以下应急处置步骤。

3.1 临时阻断攻击源

优先通过防火墙将高频攻击IP加入黑名单：
若使用ufw防火墙：

sudo ufw deny from 攻击IP to any port 22

若使用iptables：

sudo iptables -A INPUT -s 攻击IP -p tcp --dport 22 -j DROP

批量阻断时可将攻击IP写入文件，通过

iptables-restore

批量导入，避免逐条输入浪费应急时间。

3.2 锁定异常账户与重置配置

临时禁用root远程登录：编辑/etc/ssh/sshd_config，将

PermitRootLogin

设置为no，执行

sudo systemctl restart sshd

生效。重置所有具有SSH访问权限的账户密码，密码需包含大小写字母、数字与特殊字符，长度不低于12位。锁定疑似被暴力破解试探的账户：

sudo passwd -l 异常账户名

3.3 清理潜在入侵痕迹

执行

ps aux | grep -v grep | grep ssh

检查SSH相关进程，若出现未知PID的异常ssh进程，立即执行

kill -9 异常PID

并删除对应可执行文件。检查/root、/home等目录下的隐藏文件与异常脚本，若发现/tmp/.ssh等可疑目录，直接删除并清理crontab定时任务（

crontab -l

排查异常任务）。

四、长效防护加固措施

为避免vps云服务器再次遭遇SSH暴力破解，需配置长效防护措施。

4.1 基础配置优化

修改SSH默认端口：将sshd_config中的

Port 22

改为10000-65535之间的非知名端口，同步在防火墙上开放新端口后再重启sshd服务。禁用密码登录：配置SSH密钥登录，将

PasswordAuthentication

设置为no，确保密钥文件权限为600、密钥目录权限为700。

4.2 自动化防护工具部署

安装fail2ban工具自动拦截高频失败登录IP：
Debian/Ubuntu系统：

sudo apt install fail2ban

CentOS/RHEL系统：

sudo yum install fail2ban

复制/etc/fail2ban/jail.conf为/etc/fail2ban/jail.local，修改ssh规则：

bantime = 86400

（封禁24小时）、

maxretry = 3

（3次失败即封禁），重启fail2ban服务生效。

五、常见陷阱与避坑指南

应急响应中易踩的典型错误需重点规避，以下是对应处理对比：
错误操作：直接关闭SSH服务阻断攻击
正确做法：临时限制攻击IP而非关闭服务
风险说明：关闭SSH会导致自身无法远程管理vps云服务器，需依赖服务商后台救援，延长处置时间

错误操作：仅修改SSH端口未同步防火墙配置
正确做法：先开放新端口防火墙规则，再修改SSH端口
风险说明：未开放新端口会导致自身无法连接SSH，陷入无法自主恢复的被动局面

错误操作：忽略日志留存直接清空
正确做法：将攻击时段的日志归档保存至非系统分区
风险说明：清空日志会丢失攻击溯源依据，若后续出现二次攻击无法定位规律

六、事后复盘与预案更新

攻击处置完成后24小时内需完成三项工作。复盘攻击过程，统计攻击IP数量、持续时长、是否造成数据泄露或权限篡改。更新应急预案，补充本次攻击中发现的新攻击特征与处置遗漏点。每季度至少开展1次SSH暴力破解模拟演练，验证防护措施的有效性。