1. 事件隔离与取证
发现服务器CPU异常飙升时，应立即断开公网连接并关闭非核心服务，通过控制台「网络与安全」模块切断外网访问。保留系统内存快照和以下关键日志：
- /var/log/secure（Linux认证日志）
- Windows事件查看器中的安全日志
- 系统进程树快照（ps auxf命令输出）
2. 病毒识别与清除
使用阿里云云安全中心进行全盘扫描，重点排查以下位置：
- 计划任务目录：/etc/cron.* 或 Task Scheduler Library
- 异常启动项：systemctl list-unit-files | grep enabled
- 隐藏进程：检查/proc目录中未在ps显示的进程
发现挖矿进程后应冻结而非直接终止，通过kill -STOP保留进程句柄用于取证分析。
3. 系统修复与加固
完成病毒清除后需执行：
- 重置所有SSH密钥与API访问凭证
- 升级内核至安全版本（yum update kernel）
- 配置云防火墙规则，限制出站流量至矿池常用端口（3333/5555/8888）
4. 数据恢复与监控
优先使用阿里云快照功能回滚系统盘，若需保留近期数据：
| 步骤 | 操作 |
|---|---|
| 1 | 创建当前系统盘快照 |
| 2 | 挂载历史干净快照为云盘 |
| 3 | 通过rsync增量同步业务数据 |
恢复后部署云监控服务，设置CPU利用率超过80%持续5分钟触发告警。
建议采用「快照备份+网络隔离+权限最小化」的三层防御体系，定期进行云安全中心渗透测试。对于生产环境，可启用阿里云「安全托管服务」实现7×24小时威胁监测。
