网站安全监测不是网站装个防火墙就完事了。上个月帮一个做跨境电商的安全朋友看站点，他花了小两万买的监测WAF（Web应用防火墙）日志干干净净，结果数据库里三万条用户手机号已经挂在暗网卖了。网站问题出在哪儿？安全他的监测只盯着HTTP请求，没人管半夜三点从后台管理接口导出的监测那条SQL查询。

监测的网站第一层是知道你的资产到底有多少。很多中小团队连自己有多少个子域名、安全多少台公网IP、监测开了哪些端口都说不清楚。网站我习惯用被动DNS加证书透明日志交叉比对，安全经常能挖出运维自己都忘了的监测测试站——那些站往往跑着半年前的框架，连默认口令都没改。网站有个做在线教育的安全客户，主站防护得密不透风，监测结果一个`test.xxx.com`的旧版后台被上传了webshell，攻击者拿它当跳板进了内网。

流量层面，别只盯着请求频率。CC攻击早就不靠蛮力了，现在流行慢速攻击：一个连接发几个字节，挂几百个并发，Apache的worker进程就被占满。监测规则得看连接持续时间和请求完整度。还有更阴的——有些爬虫伪装成正常用户，每次请求间隔随机，User-Agent轮换，但它们在凌晨两点到四点之间的访问量是白天的三倍。这个时间窗口本身就是异常信号。

日志分析最怕“狼来了”。某金融客户每天告警邮件上千封，安全运维直接设了过滤规则全扔进垃圾箱。后来真被拖库了，事后翻日志发现攻击者用了整整两周做SQL注入探测，每次只返回一个字符，告警系统每次都报“疑似注入”，但没人看。监测的阈值要动态调，比如工作日白天和周末凌晨的基线完全不同。静态规则等于没有规则。

文件完整性监测是个笨办法但真管用。攻击者拿shell之后通常要改文件——加后门、留webshell、改.htaccess做重定向。用inotify或者hash比对，能抓住不少漏网的。但别只监控web目录，`/tmp`、`/dev/shm`这些地方经常被用来放挖矿脚本。有个客户中招后，我们在`/var/tmp`里找到一个叫`kworker`的二进制文件，伪装成内核线程，实际在连矿池。

外部监测同样重要。你的域名有没有被泛解析到恶意IP？SSL证书有没有被冒用？暗网论坛里有没有人在卖你的数据库？这些靠内部日志看不到。我定期用几个威胁情报源跑一下自己的域名和IP段，有一次发现一个子域名被解析到了东南亚某台VPS上——后来查出来是离职员工留的后门。

监测的终点不是告警，是响应。告警发到群里没人理，等于没监测。得有人负责看，有预案能执行。最简单的：发现webshell之后，先断网还是先取证？删文件还是留证据？这些事不能等出事再想。我见过一个团队，发现入侵后第一反应是重启服务器，结果内存里的攻击者进程全没了，日志也被覆盖，最后连怎么进来的都没查清。

说到底，网站安全监测是个持续对抗的活。攻击者在进化，你的监测规则也得跟着变。别指望一套系统管三年，每季度做一次规则评审，每半年做一次攻防演练。最怕的就是“我们买了设备所以安全了”这种心态——设备是死的，人是活的。