服务器出现陌生登录记录或短时间内大量请求时，请先保存相关信息，核对访问结果和业务影响，再采取处理措施。不要仅凭陌生IP或请求数量认定系统已被入侵。
先看访问结果，再判断影响
登录失败记录与成功登录应分别核对，重点检查无法解释的成功登录、账号权限变化和异常操作。网站高频访问可结合请求路径、响应状态和业务负载判断，同时排除本人运维、监控探测或正常批量任务带来的影响。
保留能够对应问题的日志
请保存异常时段前后的记录，注明系统时区、发生时间、来源地址、涉及账号及操作结果。日志截图应保留必要字段，避免只截取一个IP或一段次数统计。排查前不要急于清空日志、删除相关文件或重装系统，以免丢失判断问题经过所需的信息。
收紧访问前，先确认管理通道
调整管理端口的访问范围时，请保留可信网络的登录方式，逐项修改并验证，避免将正常管理连接一并阻断。需要更换密码、密钥或应用凭证时，应先检查哪些程序和任务正在使用，安排关联配置同步更新，减少额外的业务中断。
需要协助核实时，请在工单中提供产品编号、异常时间范围、影响现象和已采取的措施，并附必要日志。密码、私钥、验证码及无关客户信息请遮盖，不要将完整资料发到公开群聊。
宝乐云