网站被攻击时，最怕的就是后知后觉。等到服务瘫痪、数据泄露才发现为时已晚。一个有效的监控告警体系是防御的第一道生命线，而 Prometheus 搭配 Grafana 正是构建这条防线的核心工具组合。它能实时抓取服务器、应用、网络的关键指标，并通过可视化仪表板和智能告警，让你在攻击发生的第一时间就锁定异常，迅速响应。
为什么是 Prometheus + Grafana？传统监控的短板与新方案的崛起
传统监控往往依赖于周期性的日志检查和基础资源告警（如CPU跑满），对于复杂的、低流量的慢速攻击或精准的业务指标异常（如接口请求量骤变、特定错误码飙升）反应迟钝。Prometheus 作为一种开源的系统监控和告警工具包，其强大的多维数据模型和灵活的查询语言（PromQL），可以让你自定义任何你想监控的指标，从服务器负载到某个用户登录接口的失败次数。Grafana 则是顶级的可视化平台，它能将 Prometheus 收集到的冰冷数据转化为直观的图表和仪表板，并集成强大的告警规则，支持通过邮件、钉钉、企业微信、Slack等多种渠道推送，实现“监控-可视化-告警”的闭环。
构建监控体系的四大核心层：从基础设施到业务逻辑
一个针对网站攻击的完整监控体系，不应只盯着服务器是否宕机。它需要分层构建，层层设防。第一层是基础设施层：监控服务器的CPU、内存、磁盘I/O、网络流量。突然的CPU 100%或网络出口流量暴增，可能是正在遭遇DDoS攻击或挖矿木马。第二层是服务与应用层：监控Web服务器（如Nginx/Apache）的请求速率、响应时间、HTTP状态码（特别是4xx、5xx）。大量404请求可能是在进行目录扫描，5xx错误激增可能是应用被攻击导致崩溃。第三层是网络与安全层：通过监控防火墙日志、IDS/IPS事件、SSL证书状态、异常端口连接等，发现入侵企图。第四层是业务与用户层：监控关键业务接口的调用量、成功率、用户登录/注册的异常行为（如短时间内同一IP大量尝试登录）。这一层最能发现那些绕过技术防御、针对业务逻辑的攻击。
实战部署：一步步搭建 Prometheus 监控与采集
首先，在各目标服务器上部署 Prometheus 的导出器（Exporters）。对于基础系统指标，使用 Node Exporter；对于 Nginx 指标，可以使用 nginx-module-vts 或 Prometheus 的 nginx-exporter。将这些 exporter 作为服务运行，它们会在特定端口（如9100）暴露符合Prometheus格式的指标数据。接着，部署 Prometheus 服务器，其核心配置文件 prometheus.yml 中需要定义要抓取的目标。
global:
scrape_interval: 15s # 抓取间隔
scrape_configs:
- job_name: 'node'
static_configs:
- targets: ['192.168.1.10:9100', '192.168.1.11:9100'] # Node Exporter地址
- job_name: 'nginx'
static_configs:
- targets: ['192.168.1.10:9113'] # Nginx Exporter地址启动 Prometheus 后，它便会定期从这些目标拉取数据并存储在其时间序列数据库中。你可以通过 Prometheus 自带的 Web UI 使用 PromQL 进行初步查询，例如，查询所有实例中CPU使用率超过80%的情况：100 - (avg by (instance) (rate(node_cpu_seconds_total{mode="idle"}[5m])) * 100) > 80。
Grafana 可视化：将数据转化为安全态势感知图
部署 Grafana 并添加 Prometheus 作为数据源。接下来就是创建仪表板。针对攻击监控，你应该创建几个核心视图：
1. 资源总览视图：集中展示所有服务器的CPU、内存、磁盘、网络流量曲线，一眼看清全局负载；
2. Web 流量安全视图：绘制 HTTP 状态码（2xx, 3xx, 4xx, 5xx）的速率图，特别是将4xx和5xx错误单独高亮。添加“请求速率”和“响应时间”面板，突增的曲线往往意味着异常；
3. 安全事件视图：如果你集成了如 Blackbox Exporter（监控端口和HTTP可用性）或安全设备的 exporter，可以在此展示探测失败、异常端口连接数等指标。Grafana 图表的强大之处在于，你可以将相关的指标放在一起，通过趋势对比，快速定位问题根源。
告警规则配置：从“看到”问题到“被告知”问题
光有仪表板还不够，你需要7x24小时的自动“哨兵”。这需要在 Prometheus 或 Grafana 中配置告警规则。在 Prometheus 的规则文件中定义，或在 Grafana 较新版本（8.0+）的告警模块中配置。以下是几个针对攻击场景的关键告警规则思路：
# 规则1: 针对应用层DDoS或爬虫 - 请求速率异常暴增
- alert: HighRequestRate
expr: rate(nginx_http_requests_total[5m]) > 1000 # 阈值根据正常基线调整
for: 2m
labels:
severity: critical
annotations:
summary: "网站请求速率异常激增 (实例 {{ $labels.instance }})"
description: "当前请求速率: {{ $value }} 次/秒，可能遭受CC攻击或恶意爬虫。"
# 规则2: 针对扫描与入侵尝试 - 5xx错误率飙升
- alert: High5xxErrorRate
expr: sum(rate(nginx_http_requests_total{status=~"5.."}[5m])) / sum(rate(nginx_http_requests_total[5m])) > 0.05 # 错误率超过5%
for: 1m
labels:
severity: warning
annotations:
summary: "服务器5xx错误率过高 (实例 {{ $labels.instance }})"
description: "当前5xx错误率已达 {{ $value | humanizePercentage }}，应用可能被攻击导致崩溃。"
# 规则3: 针对资源劫持（挖矿） - CPU异常长期占用
- alert: HighNodeCpuUsage
expr: 100 - (avg by (instance) (rate(node_cpu_seconds_total{mode="idle"}[5m])) * 100) > 85
for: 5m # 持续5分钟高位才告警，避免短暂峰值干扰
labels:
severity: warning
annotations:
summary: "服务器CPU使用率持续过高 (实例 {{ $labels.instance }})"
description: "CPU使用率已持续5分钟超过85%，当前为 {{ $value }}%。"配置好告警规则后，在 Grafana 中设置通知渠道，将告警信息发送到你的运维团队。告警信息应包含清晰的问题描述、发生位置（实例/标签）、当前指标值和相关的仪表板链接，以便快速定位。
超越基础：集成黑盒监控与日志监控形成合力
仅靠白盒监控（从内部暴露指标）还不够。你需要黑盒监控，从外部用户的角度探测服务可用性。使用 Prometheus 的 Blackbox Exporter 可以定期从外部探测网站的HTTP(S)可用性、TCP端口状态、DNS解析等。这对于发现区域性劫持、DNS污染或全站不可用攻击至关重要。同时，监控体系需要与日志系统联动。虽然 Prometheus 不适合存储日志，但你可以通过 Loki + Grafana 的方案，或者将关键安全日志（如失败登录、SQL错误）通过自定义 exporter 转化为指标，注入 Prometheus。当告警触发时，你能同时查看指标曲线和对应时间点的详细日志，实现真正的根因分析。
体系优化与最佳实践：让监控更智能、更高效
首先，定义合理的基线与阈值：阈值不应是拍脑袋决定的。应观察业务在正常时段、高峰时段的指标范围，设定动态或分时段的阈值。其次，避免告警疲劳：合理设置告警分级（警告、严重）、静默规则和聚合规则，将同类告警合并发送，防止信息轰炸导致真正重要的告警被忽略。第三，定期进行攻防演练：模拟攻击场景（如模拟CC攻击、发起端口扫描），检验你的监控告警体系是否能准确、及时地发现并通知。第四，持续迭代监控项：随着攻击手段演进，你的监控指标也要迭代。例如，API接口成为新重点后，就需要为关键API添加细粒度的QPS、延迟和错误率监控。
最终，Prometheus + Grafana 构建的不仅仅是一个告警工具，它是一个动态的、覆盖多层次的安全态势感知系统。它让你从被动救火转向主动防御，在攻击者造成实质性破坏之前，就已掌握其动向并采取行动。记住，安全的最高境界是可视化，而可视化与自动告警的结合，正是现代网站安全运维的基石。
