2024年夏天的一个周六晚上11点，日照一家做电商的企业，网站突然打不开了，服务器CPU飙到100%，后台登录不进去。老板连夜给技术打电话，技术远程一看：服务器被入侵了，数据库被加密，勒索邮件躺在收件箱里："支付3个比特币，否则数据永久删除。"全公司慌了，好在技术比较冷静，按应急流程处理，另外数据完整恢复，一分钱没给黑客。服务器被攻击，慌是正常的，但流程不能乱。
第一步：识别攻击类型——先知道对手是谁
常见的服务器攻击：DDoS攻击（流量打爆，网站卡死或打不开）、暴力破解（不断尝试登录密码）、挂马（网页被植入恶意代码）、勒索病毒（数据被加密，要赎金）。识别方法：看症状——网站打不开且CPU/带宽异常高，多半是DDoS；后台登录失败记录暴增，是暴力破解；网页被篡改或弹广告，是挂马；文件被改名加后缀（.locked等），是勒索。日照这家电商企业，症状是"文件被加密+勒索信"，立刻判断是勒索病毒。
第二步：断网止损——第一时间隔离，防止蔓延
不管哪种攻击，第一步都是"断网隔离"：拔网线/防火墙拉黑/关闭对外端口，防止攻击者继续搞破坏、防止病毒蔓延到内网其他机器。日照这家电商企业，技术第一时间在云控制台"安全组"里把服务器全部入站流量封掉，然后才慢慢处理——虽然网站暂时下线，但保住了数据不再被加密。止损原则：宁可业务停1小时，不可数据全没了。
第三步：备份恢复——有备份才有底气
处理的核心是有"干净的备份"：用攻击前的备份恢复系统（云服务器一般有自动快照，恢复到攻击前的时间点）。日照这家电商企业，云服务器开了每日自动快照，技术选了攻击前一天的快照恢复，半小时后系统恢复正常，数据完整。注意：如果服务器有"快照回滚"功能，优先用这个（比手动恢复快得多）。没有备份的企业，遇到勒索只能二选一：付赎金（不保证恢复）或数据丢失。
第四步：溯源加固——别让攻击者"二进宫"
恢复后必须做两件事：溯源（查攻击是怎么进来的——弱口令？漏洞？钓鱼邮件？）和加固（堵住漏洞：改强密码、关掉不必要的端口、装安全软件（云盾/安全狗）、更新系统补丁）。日照这家电商企业另外查明：攻击者是暴力破解了服务器的SSH弱口令（密码是admin123），进来后装了勒索程序。加固后：密码改成16位强密码、SSH改成密钥登录、装了云安全防护，再没出过事。
日常预防清单（比应急更重要）
日照企业服务器，日常做好这6件事，90%的攻击都能防住：一，强密码+密钥登录（弱口令是最大漏洞）；二，开启自动快照/备份（每天一次，异地保存）；三，装安全软件（云盾、安全狗，有防入侵和告警）；四，定期更新补丁（系统漏洞要及时补）；五，最小化开放端口（用不到的端口全关）；六，做好权限管理（别给所有人root权限）。预防成本一年几百到几千，一次事故损失可能几万到几十万。说白了，服务器安全是"七分预防，三分应急"：预防做得好，应急手册用不上才是最好的。