攻击峰值、攻击类型、时间线、受影响资产、数据完整性、恢复耗时、防护策略有效性。 少了任何一项，复盘报告都会像缺了腿的椅子，看着齐全,坐上去就塌。
很多团队被打之后第一反应是盯 CPU 和带宽，其实只看到了最表层，攻击过程像一场入室盗窃，流量只是砸门的动静，真正要还原的是门怎么被砸开、进屋后动了什么、人从哪里走的,下面按权重把这几项指标拆开说。
服务器被攻击后要复盘哪些指标？先分清攻击性质
不同攻击类型，复盘重心完全不同，把入侵当 DDoS 复盘,结论会偏到离谱。
- 流量型攻击：DDoS、CC 攻击，重点看流量峰值、连接数、黑洞触发时间、清洗带宽。
- 入侵型攻击：弱口令爆破、Webshell、提权，重点看登录日志、异常进程、文件变更、数据外传。
- 混合型攻击：先流量压制再趁乱入侵,时间线必须拉齐到分钟级。
安全事件复盘和日常监控指标对比：别用日常阈值套复盘
日常监控看的是趋势和基线，复盘看的是突变和路径,两者不能互换。
| 指标 | 日常监控重点 | 被攻击后复盘重点 |
|---|---|---|
| CPU 使用率 | 平均水位、长期趋势 | 攻击窗口内瞬时峰值、持续高负载时段 |
| 网络流量 | 日流量曲线、峰值 | 入向突发规模、协议分布、来源地域 |
| 连接数 | 正常业务并发连接数 | 每源 IP 连接数、SYN_RECV 数量、连接时长分布 |
| 错误率 | 基线 5xx 比例 | 特定路径 5xx 突发、WAF 拦截/放行比率 |
| 磁盘 IO | 读写平均负载 | 异常写入时段、文件变更目录、数据库慢查询 |
日常监控阈值在攻击复盘里基本失效，一次 CC 攻击可能 CPU 只爬到 40%，但业务已经不可用，光看 CPU 就会漏判。
网站被DDoS攻击后复盘重点指标怎么查：从命令到路径
这一节按操作系统和云平台分开说，全部是可执行操作，复盘时照着一条条跑,七项指标基本都能拉出来。
Linux 服务器上快速拉扯七项指标
- 看系统负载变化：
uptime、top -bn1 | head -20 - 看网络连接数：
netstat -anp | grep -E 'ESTABLISHED|SYN_RECV' | wc -l - 看攻击来源 IP 集中度：
grep ' 502 ' /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -nr | head -20 - 看 SSH 爆破来源：
journalctl -u sshd --since "24 hours ago" | grep "Failed password" | awk '{print $(NF-3)}' | sort | uniq -c | sort -nr | head - 看文件变更：
find /var/www -type f -mtime -1 -ls
这些命令输出直接对应流量峰值、攻击来源、连接数、入侵痕迹四项指标，日志时间戳就是时间线,不用二次整理。
Windows 服务器复盘路径
- 打开事件查看器：
eventvwr.msc - 进入 Windows 日志 -> 安全
- 筛选事件 ID 4625，看登录失败次数和来源 IP
- 筛选事件 ID 5156，看 Windows 防火墙连接过滤记录
- 如果开了审计策略，事件 ID 4688 能看新进程创建，配合异常进程路径识别 Webshell
Windows 侧的资源监视器打开命令是 resmon，可以回看磁盘和网络的突发窗口，但只能看实时,复盘时更要依赖事件日志。
云平台控制台要看什么
- DDoS 防护：查看攻击开始时间、攻击峰值流量、清洗带宽、黑洞触发时间
- WAF 日志：查看拦截 URL、来源 IP、CC 攻击请求特征、误拦截列表
- 数据库审计：查看异常下载量、批量导出操作、非常用账号登录
- 对象存储日志：查看异常读请求、批量列举桶操作
云上的日志通常比主机更完整，因为主机日志可能被攻击者顺手清掉，复盘时先锁定云监控时间窗,再回主机拉对应时段日志。
七项指标权重排序：哪些是底线，哪些是加分项
不是每次复盘都要七项全量铺开，按团队人力和事件等级，可以分底线和加分项，行业共识认为,时间线是安全复盘中最容易被低估的一环。
- 攻击流量峰值与持续时间：必须看，没有这个数,无法判断攻击规模和清洗效果。
- 攻击类型与向量：必须看，是 SYN Flood 还是 CC,直接影响后续买哪种防护。
- 受影响资产与业务范围：必须看，哪些域名、端口、API 被打透。
- 数据完整性与泄露痕迹：必须看，查异常下载、拖库、篡改。
- 恢复耗时与响应时间线：必须看，第一次告警到业务恢复用了多久,堵点在哪个环节。
- 防护规则变更记录：加分项,复盘时把误拦截和漏拦截挑出来。
- 恢复后 24 小时指标对比：加分项,确认没有残留后门或慢速攻击。
多数情况下，前五项是底线，后两项人力紧张时可以简化，但不宜完全省略，如果是入侵型攻击,数据完整性无条件升级为第一优先。
复盘报告不要写成流水账：按攻击时间线组织
把七项指标嵌进时间线,报告才会从数据清单变成可用结论。
- 先拉出攻击时间窗：从 WAF 第一波拦截到业务恢复,精确到分钟。
- 再把七项指标按时间窗对齐：流量峰值出现在哪分钟，CPU 什么时候飙高,文件变更是哪几分钟。
- 每一条结论带上指标数值和采集位置，从 Nginx access.log 的 502 时段可见，来源 IP 集中在 103.x.x.0/24”。
报告不要写“大约几点被打”。grep 出来的时间戳、云监控的告警时间、黑洞触发记录，三者对不上就是问题，对不上往往说明日志被清、时钟漂移或告警延迟,这些本身就是复盘重点。
复盘重点看的关键指标在被攻击后有几项相关问答
被攻击后复盘关键指标最少看几项？
最少看四项：攻击类型、流量峰值、受影响资产、恢复耗时，全量复盘推荐七项，如果涉及数据泄露,数据完整性必须无条件加进去。
网站被DDoS攻击后复盘指标和服务器被入侵后复盘指标一样吗？
不一样，DDoS 侧重网络层和传输层，比如流量峰值、SYN_RECV 数量、黑洞触发时间；入侵侧重主机层，比如登录失败事件、异常进程、文件变更,两类攻击都要看业务可用性和恢复耗时。
北京机房的服务器被攻击后复盘，地域指标需要单独看吗？
需要，北京机房可向运营商索取上联流量采样，重点看入向流量来源自治域和地域分布，如果攻击源集中在少数地域而业务用户不在此区域，可优先在机房侧启用黑洞或清洗，第三方应急响应复盘服务价格按人天计费，差异较大,采购前先确认厂商是否具备云平台对接能力。