云服务器 SSH 被暴力破解怎么防：从日志确认到自动封禁的完整处理
一台有公网 IP 的服务器，SSH 端口开放在默认位置，通常几小时内就会开始收到密码尝试。这不是被针对，而是全网范围的自动化扫描。多数管理员意识到这件事的时候，认证日志里往往已经积累了几千条失败记录。
先确认规模而不是急着改配置
处理的第一步是看清现状。认证日志里记录了每一次失败的登录尝试，统计其中的失败次数和来源分布，就能判断问题的量级。
值得关注的是两个数字：总失败次数，以及失败次数最多的几个来源地址。如果单个来源在短时间内尝试了几百上千次，说明是持续性的自动化爆破，而不是偶发的误输密码。
同时要确认有没有成功的异常登录。如果日志里出现了来源陌生的成功记录，处理优先级立刻改变，应当先按入侵响应处理，而不是继续加固。
顺带一提，失败登录还会记录在一个专门的二进制日志里，这个文件在长期爆破下可能膨胀到几十兆。它不影响安全，但会占空间，清理时直接截断即可。
自动封禁是性价比最高的一步
人工封禁跟不上自动化扫描的速度。合适的做法是部署自动封禁工具，让它读取认证日志，对短时间内多次失败的来源自动加防火墙规则。
部署后通常能立刻见效。在实际案例中，工具启动的几分钟内就会封掉一批正在尝试的地址，因为日志里已有的失败记录会被立即计入。
需要注意工具"装了"和"在跑"是两件事。服务处于停止状态、或者没有设置开机自启，都等于没有防护。部署完成后要确认服务状态为运行中，并且已加入开机启动。
封禁策略要留出自救余地
策略设置上最容易犯的错误是追求严厉：一次失败就封、永久不解封。这样做的风险是把自己封在外面——记错密码、换了网络、脚本配置错误，都可能触发。
更稳妥的组合是：给出几次容错机会，首次封禁时长设为一小时左右，对反复尝试的来源采用递增封禁，最长封到一周。这样恶意来源会被越封越久，而自己误触时只需等一小时就能恢复。
同时把本机地址和内网网段加入永不封禁的名单，避免内部服务之间的调用被误伤。
如果确实被自己的策略封住了，还有两条退路：通过云平台控制台提供的远程连接方式进入，或者从另一个网络环境登录后手工解除封禁。部署前确认自己知道这两条路怎么走，比事后再找方法从容得多。
减少暴露面
自动封禁是拦截，减少暴露面是降低被扫描到的概率。
把 SSH 端口从默认位置改开，能过滤掉大量只扫默认端口的自动化工具。它不能防住有针对性的扫描，但可以显著降低日志噪声。
更有效的是限制来源。如果管理操作只从固定的办公网络或跳板机发起，在防火墙层面只放行这些来源，其余一律拒绝，爆破就无从下手。这是效果最好的一招，前提是来源地址确实稳定。
密钥登录才是根治
自动封禁和改端口都是缓解措施，只要密码认证还开着，密码强度就是最后一道防线。改用密钥认证并关闭密码登录，爆破在原理上就失去了目标。
切换过程有锁死风险，必须按顺序做：先生成密钥对，把公钥部署到服务器，保持密码登录可用的状态下新开一个会话测试密钥能否登录成功，确认无误后再关闭密码认证，最后再次测试。任何一步没验证就往下走，都可能把自己关在门外。
同时建议关闭超级用户直接登录，改为用普通账号登录后再提权。这样即使凭据泄露，攻击者也要多跨一道门槛。
加固之后仍要看结果
部署完成不等于万事大吉。定期确认三件事：封禁服务仍在运行、封禁数量的变化趋势是否正常、有没有出现来源陌生的成功登录。
前两项说明防护在工作，第三项才是真正需要警觉的信号。爆破被拦住是常态，成功登录出现在意料之外的位置才是事故。
从日志里把规模看清楚
统计动作很简单，结论却很有用。
把认证日志里的失败记录按来源地址汇总排序，就能看出是少数几个来源在密集尝试，还是大量来源各试几次。前者是单点爆破，封掉几个地址立刻见效；后者是分布式扫描，依赖自动封禁持续处理。
在实际的一台服务器上，统计结果是四千多次失败尝试，其中排在第一的单个来源占了八百多次，前几名合计占了近半。这种分布说明少量来源贡献了大部分尝试，自动封禁的效果会很明显。
同时要检查有没有成功记录来自陌生地址。这一条比失败次数重要得多。失败再多也只是噪声，一次意料之外的成功才是事故。
部署完成后怎么确认真的生效
装好工具不等于在防护，需要确认三件事。
服务处于运行状态，并且已设置开机自启。只是安装了但服务停着，或者重启后不会自动起来，等于没有防护。
封禁列表里确实有内容。工具启动时会读取已有的日志记录，如果历史上存在爆破，启动后几分钟内就应该封掉一批。在实际案例中，服务起来后立刻封了几个正在尝试的地址，一小时后累计封禁数量增长到二十个。
防火墙规则确实生效。工具是通过下发防火墙规则来实现封禁的，如果系统的防火墙服务状态异常，规则可能没有真正应用。查看当前的防火墙规则里有没有对应的封禁条目即可确认。
之后定期看封禁数量的变化趋势。数量持续增长是正常的，说明防护在工作；数量长期不变则要检查服务是否还在运行。
腾讯云国际和阿里云国际商品当前开放；AWS 与 Google Cloud 商品目前未开放，本文不提供相关导流。可用的安全组能力、远程连接方式与日志路径以对应国际站控制台和系统实际配置为准。
官方来源
常见问题
云服务器 SSH 被暴力破解怎么防需要注意什么？
操作前先确认账号属于国际云对应站点，并备份关键数据或记录当前配置。按本文步骤完成后做一次验证。需要账号可申请账号，续费见自助充值。
出错后如何快速回滚或止损？
优先恢复到变更前的快照、镜像或原规则；若涉及计费或销毁类操作，先停止继续变更，再按官方控制台状态与工单路径处理。不确定时不要反复点击高危按钮。
没有对应云账号时怎么开始？
可先通过申请账号开通国际云账号，再用自助充值完成额度准备。新账号建议先完成 MFA、访问密钥收敛与费用告警，再部署业务。
