1、搜下 fail2ban nginx，有防止proxy、脚本扫描、认证失败、连接频率的规则。
2、相关命令
cat 日志.log | awk -F ' ' '{print $1}' | sort | uniq -c | sort -nr
查看最近访问平常的ip，一般攻击的都是各种充分访问或者各种尝试攻击，在短时间log很容易看的出来，这里直接能列得出每个IP的访问次数，
如果IP过多，加个|head查看前10
感觉那个ip疑是就
cat 日志.log | grep '这个ip'
最好导出来看，一般是攻击看大访问的地址 等等形式就看得出来了