CPU占用率飙升至100%：是攻击还是正常现象？

在运维和开发的日常工作中，CPU占用率突然飙升至100%往往是一个令人紧张的信号。这可能意味着服务器正在遭受攻击，但也可能是由于某些正常的、但资源密集型的任务或进程造成的。本文将探讨如何识别和应对服务器的异常CPU占用情况，并通过Python脚本示例，提供一种监控和诊断CPU占用率的方法。

一、CPU占用率100%：攻击or正常？

1.1 攻击迹象

• 持续性高占用：如果CPU占用率长时间保持在100%，且没有明显的原因（如定期执行的大规模数据处理任务），则可能是受到DDoS（分布式拒绝服务）攻击或其他类型的恶意活动。
• 网络流量异常：检查网络监控工具，如Nginx日志或Wireshark捕获的数据包，看是否有异常的流量模式，这通常是攻击者尝试访问或利用服务器资源的迹象。

1.2 正常现象

• 计划任务或批处理作业：例如，定期备份、大数据分析或视频转码等任务会暂时性地占用大量CPU资源。
• 软件升级或更新：系统或应用程序的升级过程也可能导致CPU使用率升高。

二、如何判断服务器是否被攻击

2.1 监控与分析

使用系统自带的工具或第三方监控软件来持续监控服务器状态。以下是一个简单的Python脚本，用于实时监控并记录CPU使用率：

import psutil
import time

def monitor_cpu_usage():
    while True:
        # 获取当前CPU使用率
        cpu_percent = psutil.cpu_percent(interval=1)
        
        print(f"Current CPU usage: {cpu_percent}%")
        
        # 如果CPU使用率达到100%，记录时间戳
        if cpu_percent == 100:
            with open('cpu_usage_log.txt', 'a') as f:
                f.write(f"Critical CPU usage detected at {time.strftime('%Y-%m-%d %H:%M:%S', time.localtime())}\n")
        
        time.sleep(5)  # 每隔5秒检查一次

if __name__ == "__main__":
    monitor_cpu_usage()

2.2 日志审查

审查系统和应用日志，寻找异常登录尝试、未授权访问或任何不寻常的活动记录。Linux系统中，/var/log目录下的日志文件通常包含关键信息。

2.3 网络流量分析

使用Wireshark、Tcpdump等工具分析网络流量，查找异常数据包或源IP地址，这有助于识别潜在的攻击源。

三、应对措施

一旦确定服务器受到攻击，应立即采取行动：

• 增加防火墙规则：阻止已知的恶意IP地址。
• 升级安全补丁：确保所有软件都是最新版本，修复已知的安全漏洞。
• 隔离受影响的服务器：如果可能，暂时断开其网络连接，直到威胁被清除。
• 通知安全团队：如果是大型组织，及时与内部安全团队沟通，以便采取进一步的防护措施。

总结：虽然CPU占用率达到100%可能是攻击的迹象，但也有许多正常情况下会发生的情况。通过持续监控、日志审查和网络流量分析，可以有效识别并应对潜在的威胁。上述Python脚本提供了一个基础的监控框架，可根据具体需求进行扩展和定制。