邯郸公司服务器被扫描，日志里能看到什么
服务器被扫描了要不要紧？邯郸企业问得最多的就是这一条。我一般这么答：被扫是常态，被扫进去才要紧。公网上的服务器每天都在被试探，这是免不了的。真正要关心的是，有没有人试成功。这个问题，日志能回答。峰峰的磁州窑，烧造历史有 1000 多年。石家庄到邯郸的高铁 1 小时上下，来回一趟不费事。
先看异常登录
登录日志最值得看。同一个 IP 在短时间内反复试密码，就是在暴力破解。如果还有一次成功记录，那就要马上处理。真做起来，第一眼就看这里。邯山区有家门店就是靠这个习惯，发现过一次弱口令被撞开的情况。
除了服务器登录，还要看应用后台的登录。后台账号被撞开，权限可能比服务器还大。两个地方都要开二次验证。开了之后，就算密码泄露也还有一道。这道理不复杂，做的人不多。
再看请求规律
扫描的请求有很明显的特征。短时间内大量访问不存在的路径，基本可以确定是扫描。这类请求不一定有害，但值得看一眼。如果发现某条路径被反复访问，可能对方在找漏洞。看一眼成本很低。复兴区有家商户就是注意到这个规律，及时补了一个组件。
请求频率也要设上限。没有频率限制的接口，被刷起来很难看。按 IP 或按账号做限制都行，关键是得有。排期的时候我们一般都会配上。有限制，才有缓冲时间。
把看日志变成习惯
排查这种事，出事后翻日志最费劲。平时一周扫一遍，异常一眼就能看出来。不如把日志检查排进日常运维。哪怕只是花 15 分钟。检查的项目不用多，登录记录和访问异常各看一眼就够。邯郸这边很多团队没有专职运维，更要靠习惯兜住。养成了，风险就小。
常见问题
服务器日志要保留多久
建议至少保留 90 天，方便回溯。安全要求高的可以保留更久。
要不要装防护软件
可以装，但别只依赖它。配置本身没做好，装什么都会被绕过。
改端口能防扫描吗
能少一些噪音，但挡不住有针对性的扫描，还是要靠权限和口令。
邯郸的公司做服务器安全，把看日志这件事排进日常。看得勤，问题就小。先说说服务器的用途和日志保留期这两条。安全配置做完不是终点，信服无限邯郸还能帮你把后续维护接住。