| 聚合 | uniq -c 排序取高频来源 |
|---|---|
| 比对 | 情报平台查询、与本单位历史告警对照 |
聚合
聚合
grep -oE 'from [0-9a-fA-F:.]+ port' /var/log/auth.log | awk '{print $2}' | sort | uniq -c | sort -rn | head -20来源为私网地址时说明经过 NAT 或代理，需要向网络团队追查真实出口。
失败来源 IP 聚合与情报比对
把爆破来源聚合后再与威胁情报或历史记录比对：命中已知恶意地址可加快定性，未命中也不代表安全。
易错点
- 情报命中不等于本次攻击由该组织操作，归因表述要谨慎
- 共享出口 IP 的云主机可能承载多个租户，需结合时间窗
数据来源与参考
- MITRE ATT&CK（Brute Force 技术条目）