| 对象 | 失败登录、5xx、特定路径、特定 UA |
|---|---|
| 输出 | 按小时或 10 分钟计数的峰值时段 |
按事件统计
按事件统计
grep 'Failed password' /var/log/auth.log | awk '{print substr($3,1,2)}' | sort | uniq -c
zgrep ' 5.. ' /var/log/nginx/access.log* 2>/dev/null | cut -c1-16 | uniq -c | tail -12先减去正常业务曲线：扫描器或监控探活的固定频率也是突增来源。