攻击后日志证据保全

被攻击时，先保存现场日志再重启，是避免证据丢失的唯一正确顺序， 因为重启会让内存中的进程信息、网络连接、临时文件全部清空，而这些恰恰是指向攻击者的关键线索，顺序搞反，服务器是恢复了，但证据没了，攻击路径查不清，后门清理不干净,二次入侵只是时间问题，为什么顺序错了就全白干——先存日志再重启的逻辑服务器被攻击时，它……