运维人员经常会遇到这样一种情况：早上查看访问日志时，发现凌晨两三点出现了不少陌生请求，目标大多集中在登录页、后台目录以及常见配置文件上，来源地址很分散，单一IP的请求量也不算高。这通常是自动化扫描工具在进行批量探测，并不代表网站已经遭到入侵。不过，如果一直放任不管，暴露面会慢慢扩大，所以既不用过度紧张，也不能完全无视。
先弄清楚扫描的典型特征
自动化扫描一般有几个明显特点：请求时间比较集中、路径有规律、User-Agent重复或异常、大量请求返回404或403。它和真实用户访问的区别在于，真实用户通常会先打开首页，再通过导航逐步点击，而扫描往往直接冲着特定文件去。运维人员第一步不是急着封IP，而是先把这些特征记录下来，判断这是广撒网式的探测，还是针对某个入口的集中尝试。
基础防护按顺序推进，别一次性改动太多
第一步是观察访问频率。按小时统计请求量，找出异常时间段和高频路径，形成基线之后，后续判断会快很多。第二步是加固登录入口，包括修改默认后台路径、限制连续失败次数、对管理账号启用更严格的验证方式。第三步是检查目录与文件权限，确认上传目录不能执行脚本，配置文件和备份文件不放在可公开访问的位置。第四步是收敛错误页面信息，避免把服务器版本、框架版本、堆栈信息直接展示给访问者。这四项做完，大部分低成本的自动化扫描就会被挡在门外。
日志该记录什么，保留多久
日志留存的关键是字段完整。建议至少保留访问时间、来源地址、请求方法、请求路径、状态码、响应大小和User-Agent。保留周期根据服务器磁盘容量和业务需要来确定，一般建议不少于一个月，重要站点可以更长。区分正常爬虫和异常请求时，可以看三点：是否遵守抓取频率、是否声明真实身份、是否只抓取公开页面。如果某个来源只盯着登录页和敏感文件，即使频率不高，也值得单独标记。日常检查可以固定成一张清单：每天看一次高频路径，每周看一次失败登录，每月复核一次权限配置。
防护是持续动作，不是一次性设置
网站维护中的安全防护没有一劳永逸的做法。服务器环境、程序版本、业务入口都会变化，上个月有效的策略，这个月可能就需要调整。it数运在网站维护服务中通常把访问日志检查、入口加固和权限复核作为常规动作，按周期执行，而不是等出事再补。具体防护策略应结合自身服务器环境、程序框架和相关官方安全建议来确定，涉及安全配置的调整，建议先在测试环境验证，再应用到正式环境。把基础动作做扎实，比追求复杂方案更实际。
