网页篡改监测：发现变化并核实原因

页面变化监测器可以标记相对于已保存基线的差异。它无法仅凭校验和判断原因是攻击、获授权的发布，还是普通动态内容。应把告警当作核实证据的提示。

选择有意义的基线

选择代表重要模板的公开 URL，并记录预期标题、规范网址、robots 指令和内容。注明计划部署以及可能频繁变化的动态元素。SearchBastion Site Monitor 定时检查已配置的 URL；它不是持续的浏览器会话、源代码完整性扫描器或自动事件响应系统。

对检测到的差异进行初步排查

1. 确认响应属于目标页面，而不是登录或错误界面。
2. 将变化字段与之前的快照比较。
3. 检查发布历史和获授权的内容修改。
4. 安全复现问题，并将已确认的未授权修改上报给负责团队。
5. 保留证据，但不公开凭据或客户记录。

示例：意外的首页标题

假设一次定时检查发现陌生标题。核实线上响应，判断是否能用计划中的营销活动解释。如果页面确实未经授权被修改，应遵循事件流程，审核访问权限和依赖，并通过受控部署恢复已知正常状态。监测告警本身既不能识别攻击者，也不能阻止后续变更。此案例仅作说明。

测试监测流程

在测试页面进行获授权且无害的修改，核实下一次定时观察，并确认指定负责人收到配置的通知。测量实际发现和响应时间，而不是承诺即时发现。对回滚和上报流程的测试应与告警测试同样认真。

怀疑遭到入侵时，请结合应用事件流程使用 Google 的被黑内容指南。公开响应头检查只是补充配置证据，不是修复完成的证明。