怀疑服务器被入侵怎么办？隔离、保全线索与可信恢复
服务器突然出现陌生进程、异常登录或持续对外连接，需要认真调查，但单条告警还不能直接说明攻击入口和影响范围。处置的目标是控制风险、保留判断依据，并从可信状态恢复业务。不要把“进程暂时消失了”当成调查结束。
从可信设备记录最初观察
先记录发现时间、告警来源、受影响资源、业务表现和最近变更。尽量从已知安全的管理终端登录控制台或查看集中日志，不在疑似受控的服务器上输入新的高权限凭据。记录时间时注明时区，便于与网络、应用和平台日志对齐。
如果涉及团队业务，明确谁协调、谁执行、谁负责业务恢复。沟通渠道也要考虑是否受影响，避免继续使用可能已被接管的邮箱或主机作为唯一联络方式。CISA 应急指南强调有组织的隔离与协调；具体处置深度应根据事件影响决定。
先止损，再决定是否关机
实际隔离应通过受控网络规则或平台隔离能力，覆盖相关入站、出站和内网横向访问路径，并核对已有连接是否仍能通信。移出负载均衡只是业务切流步骤，限制管理入口也不能独自阻断恶意外联或横向移动。目标是减少继续扩散和对外影响，同时按调查需要保留受控通道。具体能力依平台而定，执行前确认不会把唯一管理路径完全切断。若业务正在遭受严重破坏，控制损害应优先于维持原有服务。
是否直接断电或重启，需要结合持续危害与证据价值判断。内存和短期连接状态可能随重启消失，而持续运行也可能造成额外损害。小团队无法判断时，可先联系可信的安全响应人员与服务商，提供资源编号和初步现象，避免临时运行来历不明的“清理脚本”。
保全材料时限制接触范围
在权限允许的前提下，保存相关日志、配置差异、系统时间和平台事件记录，记录取得方式及文件校验值。磁盘快照可能有帮助，但不应把它当作已经干净的恢复点，也不能假设它包含所有内存证据。调查材料可能含凭据和用户信息，应存入受控位置。
不要为了减少噪声就删除日志、清空历史或覆盖可疑文件。也不要把完整数据包、数据库或密码截图贴到公开论坛寻求帮助。共享时先做必要的范围筛选和脱敏，原始材料与分析副本分别管理，保留能够复核的时间线。
凭据处理要覆盖服务器之外
检查受影响主机能够读取的 API 令牌、数据库凭据、部署密钥、备份身份和云平台权限。重置系统密码只处理其中一个入口。对可能暴露的凭据，从可信环境执行撤销、轮换与会话失效验证，并检查相同凭据是否被其他系统复用。
同时核对新建账号、计划任务、启动服务、授权密钥及外部集成。出现未经授权的管理身份时，应纳入事件范围，而不是只删除名字后继续使用原系统。凭据处置与业务恢复需要协调，防止新环境再次读取旧的泄漏配置。
从可信来源重建并验证恢复
如果系统完整性已经无法确认，通常应考虑用可信镜像和经过检查的配置重建，再恢复经验证的数据。备份时间早于告警时间，不代表必然早于入侵时间；需要结合线索选择恢复点，并确认入口已修复。CISA 事件响应手册提供了遏制、清除和恢复的分阶段框架。
上线验收除了网页能够打开，还要检查账号权限、外联、日志采集、补丁状态和业务数据一致性。先安排有限流量或受控业务验证，再观察一段与业务风险相匹配的时间。记录本次确认的事实、仍不确定的部分、入口修复措施与后续负责人，避免在证据不足时给出“绝对安全”的结论。