凌晨两点，何处我的授权服务器报警邮件堆了十七封。登录日志显示，访问一个来自巴西的何处IP正在用root权限执行命令——而我从未给任何人开过这个权限。未授权访问就是授权这么发生的：不是电影里黑客炫技，而是访问某个端口忘了关，某个默认密码没改，何处某次配置疏忽留下的授权后门。

处理的访问第一步永远不是“堵”，而是何处“断”。立刻切断受影响服务的授权网络连接，或者直接关机。访问别心疼那几分钟宕机，何处数据被拖走比什么都严重。授权我见过太多人先忙着查日志、访问分析攻击路径，结果攻击者早把数据库打包传走了。先物理隔离，再谈其他。

隔离之后，别急着删文件。把系统日志、进程快照、临时目录里的可疑文件全部复制一份，时间戳别动。这些是证据，也是你判断攻击范围的依据。我处理过一起案例，管理员发现入侵后直接重装系统，结果攻击者留下的后门脚本里藏着完整的入侵时间线——但已经随格式化消失了。后来查了很久，才发现对方在三个月前就进来了。

接下来是找入口。别假设攻击者多高明，多数情况是弱口令、未修补的漏洞、或者暴露在公网的管理端口。逐个排查：SSH是否开启了密码登录？Redis是否绑定了0.0.0.0？Nginx的反代配置有没有把内网接口漏出去？我有个朋友的公司被入侵，最后发现是Jenkins的默认端口没改，任何人访问都能直接执行构建脚本。

找到入口后，立刻修补。改密码，换密钥，升级补丁，关闭不用的服务。但这一步别急，先确认攻击者有没有留下持久化机制——检查cron任务、启动项、SSH authorized_keys文件。很多攻击者喜欢放个反向shell脚本，你堵住入口，他换个姿势又进来了。我习惯用`chkrootkit`和`lynis`扫一遍，虽然不绝对可靠，但能发现大部分常见后门。

清理完，还得防复发。这不是说装个防火墙就完事，而是建立机制：日志定期审计，端口扫描按月做，密码强制复杂度。更实际的是，把敏感服务全部绑定内网IP，用跳板机访问。别嫌麻烦，我见过太多人图省事，把数据库直接暴露在公网，还配了个“123456”的密码。

最后说点扎心的：你不可能完全阻止未授权访问。零日漏洞、内部人员泄密、供应链攻击，这些都不是你靠配置能防住的。所以备份策略比入侵检测更重要。我每周做一次全量备份，异地存储，恢复流程演练过三遍。真出事的时候，最坏情况也就是丢一天数据，而不是从头再来。

处理未授权访问的核心就一句话：反应要快，取证要细，修补要彻底，心态要接受“防不住”的事实。别追求绝对安全，那是伪命题。你要做的是让攻击成本高于收益，同时保证自己能在十分钟内恢复业务。那次巴西IP事件，我最终发现是某个测试服务器的Tomcat管理后台忘了改密码。前后花了四个小时处理，但数据没丢，因为备份在攻击者动手前两小时刚完成。