计算机监测预警文件

凌晨三点十七分，计算机监警文件防火墙日志里跳出一条记录：某台内网服务器在四秒内发起了两千次SSH登录尝试。测预值班同事后来跟我说，计算机监警文件那一刻他后背有点发凉——不是测预因为数字大，而是计算机监警文件因为那台机器本不该在这个时间点有任何外联行为。这就是测预计算机监测预警文件真正要解决的问题：不是等系统崩了再翻日志，而是计算机监警文件在异常刚冒头时就把它摁住。

很多人把“监测”和“预警”混着说，测预其实两件事。计算机监警文件监测是测预持续地看，像保安盯着监控墙，计算机监警文件画面不动也得盯着。测预预警是计算机监警文件判断“这个画面不对劲”，然后触发动作。测预文件要写清楚的计算机监警文件就是：看什么、多久看一次、什么算不对劲、不对劲之后谁负责、几分钟内必须响应。缺了任何一环，这套东西就是摆设。

我见过一份写得极细的预警文件，里面有一条规则是“单台主机CPU使用率连续5分钟超过92%且网络发送字节数同时高于基线三倍”。为什么要加后半句？因为单纯CPU高可能是编译任务，但CPU高加上往外狂发数据，大概率是挖矿或者数据外传。这种组合条件比单一阈值管用得多，误报率能压下来一大截。文件里还附了基线采集的方法——连续两周、每天同一时段采样、剔除发布窗口。这些细节不写，运维人员只能凭感觉设阈值，要么天天被误报烦死，要么真出事时一声不吭。

预警分级也得务实。不是所有异常都值得半夜打电话叫人。我倾向于分三级：一级是“确认正在发生危害”，比如检测到已知勒索软件特征在写入文件，这种必须自动阻断加人工介入；二级是“高度可疑”，比如非工作时间从数据库服务器向陌生IP传输大量数据，先限速再核实；三级是“偏离基线但未必是坏事”，比如某个服务重启次数比平时多，记下来白天再看。分级不清，要么狼来了，要么漏掉真狼。

文件里最容易被忽略的是“误报处理流程”。规则上线第一个月，误报率通常高得吓人。得有人负责记录每一次误报、分析原因、调整规则，而不是把告警一关了事。我见过一个团队，每周五下午花半小时过一遍本周误报，三个月后他们的预警准确率从不到四成提到了八成以上。这个动作不写在文件里，就没人做。

还有一点，监测预警文件不是写完就锁进柜子的。系统在变，攻击手法在变，基线也在变。每季度至少复审一次规则，把过时的删掉，把新出现的攻击模式加进去。文件末尾最好留一页“修订记录”，写清楚谁在什么时候改了哪条规则、为什么改。这样交接的时候，下一任不会一脸茫然。

说到底，这份文件的核心就一句话：让机器在出事的早期替人喊一嗓子，并且喊得准、喊得及时、喊了有人应。写的时候别堆术语，把每个规则背后的“为什么”写清楚，执行的人才会当真。