早上刚打开公司邮箱，就收到系统告警——某台内网服务器在凌晨两点向外网发起了大量连接请求。这种反常行为，正是典型的网络攻击前兆。很多企业直到数据被拖走才意识到问题，其实攻击发生前，系统早就有迹可循。
异常流量：攻击者的“脚步声”
正常的业务访问通常有固定规律，比如工作时间活跃，夜间趋于平静。而攻击者扫描端口、尝试爆破密码时，会留下密集且无规律的请求记录。比如某台平时安静的设备突然频繁连接多个陌生IP，尤其是境外地址，这就值得警惕。
像 Wireshark 这类抓包工具能查看原始流量，但对普通用户门槛太高。推荐使用 Zeek（原Bro），它能把原始数据转化成易读的日志。例如，当检测到SSH登录失败次数超过10次/分钟，它会自动生成一条告警日志：
<code># SSH 异常登录示例日志
{"event_type": "connection", "proto": "tcp", "service": "ssh", "src_ip": "192.168.1.100", "dst_ip": "10.0.2.5", "duration": 3.2, "history": "SFRF", "login_attempts": 12, "login_failed": 12}</code>DNS 请求暴露出的猫腻
很多人不知道，恶意软件上线第一件事就是找“接头暗号”——通过DNS请求联系C&C服务器。这些域名往往长得奇怪，比如一长串随机字符加合法后缀：xkq9jdw.example.org。正常办公环境几乎不会出现这类请求。
推荐搭配 DNSChef 搭建测试环境，模拟恶意域名解析过程，理解攻击链路。实际防护中可用 Splunk 对DNS日志做聚合分析，设置规则匹配长度超过20位的子域或高频查询新域名的行为。
进程行为突变也是信号
某天你发现电脑风扇狂转，任务管理器里冒出个叫 svch0st.exe 的进程，占用大量CPU。这很可能是勒索病毒在本地加密文件。正规系统进程名不会使用数字混淆，真正的 svchost.exe 是Windows核心组件。
这时候需要能监控进程行为的工具。比如 Process Monitor 可以记录每个程序的文件、注册表、网络操作。一旦发现某个程序在短时间内大量修改.docx、.xlsx文件，立刻就能锁定可疑目标。
别让日志躺在硬盘里吃灰
很多单位装了防火墙、交换机镜像端口，日志全都有，但没人看。就像家里装了摄像头却从不回放录像。建议用 ELK Stack（Elasticsearch + Logstash + Kibana）把分散的日志集中起来，设置仪表盘实时展示登录失败趋势、异常外联排行。
举个例子，市场部的小王账号平时只在白天登录OA系统，如果系统显示他在凌晨三点从俄罗斯发起登录尝试，哪怕没成功，也该立即重置密码并检查设备是否中毒。