为什么需要异地登录告警？

异地登录通常指IP地址归属地与账号常用登录地不一致的访问行为，可能是合法用户的远程办公，也可能是攻击者窃取凭证后的恶意登录。设置告警能帮助运维人员在第一时间察觉异常，降低数据泄露风险。

Linux服务器常见设置方式

1. 结合系统日志与自定义脚本

利用sshd日志（通常位于/var/log/auth.log或/var/log/secure），通过脚本监控登录事件，判断IP归属地并触发通知。示例流程：

• 安装依赖：apt install geoip-bin 或 yum install GeoIP
• 编写Shell脚本，解析日志中成功登录的IP，查询地理位置
• 若IP归属地与预设白名单不符，通过邮件或Webhook发送告警

2. 使用Fail2ban扩展告警

Fail2ban本身用于阻止暴力破解，但可通过配置动作（action）实现告警。编辑jail.conf，在[DEFAULT]段增加：

action = %(action_mwl)s

配合sendmail或curl发送通知，同时可在过滤器中加入地理位置判断逻辑。

3. 借助审计框架auditd

配置audit规则监控/var/log/wtmp或/var/log/btmp，结合ausearch工具提取登录事件，再用Python脚本进行地理位置匹配并推送告警。

Windows服务器设置方法

1. 利用事件查看器与任务计划程序

Windows安全日志中事件ID 4624（登录成功）包含源IP地址。可创建自定义事件筛选，关联任务计划程序执行PowerShell脚本：

• 打开“事件查看器” → “Windows日志” → “安全”
• 创建附加到事件的自定义任务，触发器选择“事件ID 4624”
• 操作中启动PowerShell脚本，脚本内通过Get-WinEvent获取IP并调用地理位置API，若不在白名单则发送邮件或Teams消息

2. 使用第三方安全工具

开源工具如Sysmon配合Wazuh，或商业方案如LogRhythm、Splunk，均可通过规则引擎实现异地登录告警。此类工具通常内置地理位置数据库，配置更简单。

告警通知渠道的选择

推荐同时启用两种以上渠道：

• 邮件：适合非紧急告警，可附带详细日志
• 短信/电话：用于高危操作，如root/Administrator异地登录
• 即时通讯（企业微信、钉钉、Slack）：通过Webhook快速推送，便于团队协作

关键注意事项

1. 避免误报：建立动态IP白名单（如VPN出口、分支机构公网IP），并定期更新地理位置数据库。
2. 日志保护：告警脚本应使用独立用户运行，日志文件权限设置为640，防止被攻击者篡改。
3. 性能影响：实时监控脚本建议采用异步方式，避免阻塞SSHD或系统日志写入。
4. 合规性：若涉及用户隐私数据，告警内容不得包含明文密码或完整会话信息，仅显示源IP和时间戳。

总结

异地登录告警是服务器安全运维的基础手段。无论是Linux还是Windows，均可通过系统内置组件或开源工具实现。建议先在小范围测试，确认告警准确率后逐步推广至生产环境。