使用条款：机器为何可能被暂停

机器拥有完整的 root 权限：您可以安装任何想要的东西，并按自己认为合适的方式进行配置。限制并不针对您在机器内部运行什么，而是针对机器向外网发送了什么，以及它如何影响他人。

禁止事项

关于挖矿单独说明：挖矿本身并不被禁止，但持续占满 CPU 核心、影响同一节点上的邻居，会成为限制的理由。不是由您放置、而是由入侵者放置的加密货币挖矿程序，同样会被限制。

责任在于所有者

最让人意外的一点是：不管是您做的还是入侵者做的，都不重要。流量从您的地址发出，投诉针对的是您的机器，被限制的也是它。

正因如此，基础防护不是形式主义：

• 在第一个小时内保护您的机器
• SSH 加固
• 自动安全更新
• 被入侵的迹象

这会如何发生

1. 收到投诉，或节点监控触发告警。
2. 所有者收到通知，说明具体检测到了什么以及发生时间。
3. 如果情况不需要立即处理，会给出时间来消除原因。
4. 如果对他人构成明确威胁——传播垃圾信息、参与攻击、僵尸网络命令服务器——会立即限制访问，事后再进行复核。

限制机器时数据不会被删除：您有机会进行调查并取回所需内容。

收到通知后该怎么做

在检查机器之前，不要先否认事实。流程如下：

ps auxf
ss -tunp
journalctl -u ssh | grep Accepted | tail -30
mailq

邮件队列往往能立刻给出答案：mailq 中有成千上万封邮件，说明机器正被用于批量发信。接下来请按照被入侵的迹象一文操作。

收集并报告：您发现了什么、删除了什么、堵上了哪个漏洞。清晰的答复比任何保证都能更快解决问题。

实际的预防措施

• 不要把数据库和管理面板对外网开放——参见端口。
• 如果您不懂如何配置邮件服务器，就不要运行它：开放中继会在几小时内变成垃圾邮件机器。
• 留意出站流量——流量使用情况。
• 不仅更新系统，也要更新应用程序。

限制机器不是惩罚——而是阻止对第三方造成伤害的方式。恢复最快的是那些立即表明自己已找到原因并堵上漏洞的人。