根据对近期入侵事件排查，大约80%为公有云挖矿事件。而且目前挖矿软件会集中在公有云物理机、GPU主机以及高CPU的云主机上，最终导致公有云底层物理机资源分配紧张，影响到营收。在此背景下，应急响应团队着手调查此类挖矿事件。
x2147483647&quality=80&type=jpg />
归纳起来，主要是分两类，第一类为有界面的通过账号能看到收益的正规矿池，只是黑客把它的客户端包含在自己的恶意挖矿linux程序当中。另外一类就是自己搭建的矿池，这样更有隐蔽性，但是很有可能在短时间内被和谐。
3、通过态势感知持续监控云主机对外连接，如果发现威胁情报匹配的挖矿、C2外联等情况，动态加载安全组或者ACL，block其相关连接。
