某报社的运维,正在鼓捣监控系统,突然单位的企鹅群叫了,说做版用的共享文件夹被清空了,这还得了,马上开启备份恢复,同时开始追踪此次文件丢失的原因。
因为上次出过这样的事故,提前在服务器上安装了一个共享文件监控工具,开始查看文件存取记录,发现一个异常行为:
172.16.13.60这个地址在短短的时间内,大量删除文件,值得怀疑;下一步开始定位计算机:
在单位的核心交换机上使用显示arp来判断该IP地址所在的交换机端口
然后逐渐缩小范围,并结合平面图,最终定位了事故计算机,剩下的就是汇报领导处置了。
