1. 紧急处置措施
发现CPU异常飙升时，应立即执行以下操作序列：
- 切断公网连接并开启主机防火墙，避免横向扩散
- 通过
top -c命令定位高负载进程，记录PID和文件路径 - 使用
kill -9 [PID]终止恶意进程 - 检查
/etc/crontab和/var/spool/cron清除异常定时任务
2. 病毒溯源分析
完成初步处置后需进行深度检测：
- 使用
lsof -p [PID]追溯进程关联文件 - 检索
/tmp、/dev/shm等目录的异常可执行文件 - 分析SSH登录日志：
/var/log/secure - 比对阿里云安全告警中的文件哈希值
| 类型 | 进程名 | 路径特征 |
|---|---|---|
| 门罗币 | xmrig | /tmp/.X11-unix |
| 比特币 | cpuminer | /var/lib/.cache |
3. 系统加固方案
彻底清除后应实施防护措施：
- 升级内核至最新稳定版本并安装云安全中心Agent
- 配置SSH密钥登录，禁用root账户远程访问
- 部署网络层ACL策略，限制非常用端口通信
- 建立文件完整性监控(FIM)系统
通过”检测-隔离-清除-加固”四阶段处置流程，结合阿里云原生安全工具可有效应对挖矿入侵。建议每周执行安全基线检查，并建立自动化漏洞扫描机制。
