当服务器出现异常时，通过查看 CPU、内存使用率是否异常飙升，磁盘空间是否莫名减少，有无陌生登录记录，端口是否异常开放，是否存在名称模糊或占用资源异常的进程等，来确认服务器是否被攻击。
确定服务器被攻击后，优先选择物理断网，即拔掉服务器网线或在云控制台关闭公网访问，使用专业的安全软件或命令工具，对系统进行扫描，查找恶意文件、异常进程、隐藏后门以及被篡改的系统文件，及时发现潜在威胁。
立即更改服务器上所有用户账户、数据库、应用程序的密码和密钥，防止攻击者利用已窃取的凭证再次入侵，详细检查各类日志，分析入侵时间、攻击路径、受影响范围，明确攻击类型和手段，为后续修复和防护提供依据。
根据取证结果，评估数据泄露风险与业务影响，制定系统恢复与加固方案，在确认彻底清除威胁后，逐步恢复网络和服务。