如果你在紀錄裡看到同一個 IP 重複出現二十次，看起來就很可疑吧

但同一個 IP 一直出現，只能證明它一直出現。
:這是廢話

這不能代表甚麼，還是要看具體是在幹嘛

三種看起來很像，意思卻不同的情況

第一種：

同一個 IP → 443
同一條已建立連線持續傳資料

你可能只是在看影片。

第二種：

同一個 IP → 22
同一個帳號一直登入失敗

這就開始值得留意。

第三種：

同一個 IP → 21
同一個 IP → 22
同一個 IP → 23
同一個 IP → 25
同一個 IP → 80
同一個 IP → 443

這看起來就比較像在逐扇窗戶敲。

但就算是第三種，也要再確認。

它可能是掃描器。

可能是誤設定的監控。

也可能是真的有人在做偵查。

陌生不等於惡意

網路上很多正常服務的 IP，本來就不是人會背的。

CDN、雲端服務、更新伺服器、搜尋引擎爬蟲，都可能讓你看到陌生 IP。

所以比起：

這個 IP 我認不認識？

其實這些更重要

它碰哪個 Port？
頻率多高？
它是主動連我，還是回覆我？
前後有沒有登入失敗？
這個時間合理嗎？

資安裡很怕兩種事情。

一種是看漏。

另一種是看什麼都覺得有鬼。

後者其實也會出事，因為你可能把正常服務封掉，或是每天被一堆自己製造的警報淹沒。

剛剛提到那種「很多 Port 都碰一遍」的行為，很值得獨立拿出來講。

它就是下一篇的主角：

Port Scan