分布分析
分布分析
ss -Htan state established | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head -20
ss -Htan state syn-recv | wc -l
ss -Htan | awk '{print $1}' | sort | uniq -c | sort -rn
ss -Htunp | grep -v '127.0.0.1' | wc -l分布形态
| 形态 | 倾向判断 |
|---|---|
| 单 IP 高连接 | 爬虫、压测、单点攻击 |
| 大量分散 IP 同目标 | 分布式扫描/DDoS |
| 本机大量外连同目标 | 程序重试风暴、连接池爆炸 |
| SYN-RECV 占比高 | 半连接队列被占（SYN flood 或握手慢） |
处置前先留存证据：ss 快照、抓包、访问日志，再决定限速/封禁/改代码；封 IP 也可能把自家监控或上游节点封掉。