一次阿里云 ECS 异地登录误报排查与顺手加固

登录日志分析#

1
# 追踪特定 IP
2
grep 'xx.xx.xx.xx' /var/log/secure
3

4
# 爆破统计
5
grep 'Failed password' /var/log/secure | \
6
  awk '{print $(NF-3)}' | sort | uniq -c | sort -rn
7

8
# 最近登录记录
9
last -20

发现模式重复#

为了验证，手动触发了一次 CI/CD 部署，服务器再次出现完全相同的连接模式：

模式完全一致——原来是 GitHub Actions 的 runner 跑在 Azure 基础设施上，SCP 上传时建立多个 SSH 并发连接（分片传输），被阿里云异地登录检测误报了。

顺手发现真实攻击#

在同一份日志中发现了来自另一个 IP 的 287 次 SSH 密码爆破尝试，持续 14 分钟，全部失败。

1
# 封禁爆破 IP
2
iptables -A INPUT -s xx.xx.xx.xx -j DROP

后门排查#

确认是误报后，还是彻底检查了一遍系统：

• 当前运行进程 → 无异常
• systemd 服务 → 无新增服务
• crontab / 定时任务 → 无后门
• 系统用户 → 只有必要的系统用户
• authorized_keys → 清理到只剩 2 个必要密钥
• Docker 容器 → 无异常
• 系统文件完整性（rpm -Va）→ 无篡改
• 监听端口 → 仅 22(SSH) + 80(nginx)
• /tmp、/dev/shm → 无可疑文件