本文目录导读：
账号爆破（即暴力破解攻击）是网络安全中常见的威胁，处置此类事件需遵循“处置优先、溯源其次、加固后续”的原则，以下是针对不同场景的标准处置流程与法律合规建议：
紧急阻断与止损（黄金10分钟）
- 触发告警，立即锁定
- 自动拦截： 确保WAF或堡垒机已启用“多次失败登录锁定”策略（如：5分钟内失败5次，锁定15分钟）。
- 手动封禁： 若系统未自动拦截，立即通过防火墙或CDN封禁攻击源IP（需注意：攻击者可能已使用代理池或肉鸡，建议封禁整个C段或使用IP信誉库动态封禁）。
- 暂停受影响服务
如果爆破针对的是核心系统（如管理员后台、VPN、API），且攻击流量极大，可暂时关闭公网访问入口，切换至内网维护。
- 重置高危凭证
- 立即强制所有用户（特别是被爆破的账号）修改密码。
- 若怀疑数据库被脱裤或密码泄露,必须立即轮换所有共享密钥、API密钥和系统管理员密码。
取证与溯源分析
- 日志收集（关键证据）
- 导出访问日志（Nginx/Apache）、应用日志、数据库日志和安全设备日志。
- 重点记录：攻击源IP、时间线、尝试的账号（用户名/邮箱）、请求头特征、User-Agent。
- 攻击模式分析
- 字典测试： 是否使用了常见弱密码（如123456、admin）？
- 分布式攻击： IP来源是否来自多个国家/地区（如通过Tor或代理）？
- 撞库痕迹： 账号密码是否与已泄露的暗网数据匹配（可通过Have I Been Pwned等工具验证）？
- 排查后门残留
若爆破成功,攻击者可能已植入Webshell或后门，使用杀软扫描，并检查文件完整性（比对MD5/时间戳）。
系统加固与防御升级
- 提升认证强度
- 强制多因素认证（MFA）： 对管理员、客服等高风险账号启用MFA（如TOTP、短信验证码）。
- 停用弱密码： 通过密码策略强制使用12位以上、包含大小写+数字+符号的复杂密码。
- 限速与验证
- 图形验证码： 登录失败3次后弹出CAPTCHA或滑动验证。
- 频率限制： 对单IP、单账号实施请求速率限制（Rate Limiting）。
- 部署智能防御
- 配置WAF规则：禁止连续高频请求同一登录接口。
- 使用CDN/云的DDoS高防清洗恶意流量。
- 保留法律证据
保存日志至少6个月（符合《网络安全法》要求），并注明记录时间戳（NTFS协调世界时）。
法律合规与报告
- 内部报告
- 向信息安全负责人报告,评估是否触发数据泄露事件（如是否涉及用户手机号、身份证等敏感信息）。
- 启动应急响应计划（参考ISO 27035或GB/T 38645）。
- 外部通报（如适用）
- 若涉及用户个人信息泄露,需在72小时内向网信办或公安机关报告（依据《个人信息保护法》第57条）。
- 若攻击源IP涉及境外（如常驻VPN），建议向CNCERT（国家互联网应急中心）提交事件。
- 用户告知
如果爆破导致用户数据泄露,须通知受影响用户，并建议其修改其他平台的相同密码（防止撞库连锁反应）。
典型失败案例警示
- 案例A： 某电商平台未限制登录频率，被使用“admin+123456”爆破成功，导致后台被控，用户订单信息泄露。教训： 必须限制失败次数+验证码。
- 案例B： 某政府网站仅封禁单IP，忽略了攻击者使用肉鸡（数千个IP）轮流尝试。教训： 应结合行为分析（如请求间隔、浏览器指纹）进行动态封锁。
自动化工具参考
- 紧急封锁： 使用Fail2ban（Linux）或自定义脚本（如基于ELK日志分析自动触发防火墙规则）。
- 威胁情报： 接入微步在线或360威胁情报API，实时同步恶意IP库。
- 密码分析： 使用
hashcat或john对本地的用户密码哈希进行弱口令排查（在离线环境中进行）。
总结一句话： 先断网封IP，后改密码加MFA，最后调日志追责——不要为了业务连续性而容忍爆破攻击持续进行。
