接入服务器与安全日志

服务器采集程序称为探针，英文名称为 AntDock Probe。

在工作空间的「监控 → 服务器」创建服务器，打开对应详情页，在「安装与维护」中复制该服务器的安装命令。命令包含该服务器的接入凭据，不能放入公开页面、截图或公共仓库。安装命令应在你有管理权限的目标服务器上执行。

安装后检查探针服务状态，再回到服务器详情确认最后上报时间。上报成功后，概览显示 CPU、内存和网络等已采集指标。进程、磁盘、容器及安全日志在各自标签内查看，只有对应采集开启且来源可读时才会有结果。

看懂时间与缺失

界面区分采样时间、服务器系统时间和接收时间，并提示明显的时钟偏差。服务器停止上报后，旧样本不能当作当前值。未知、采集失败或不支持的指标显示为缺失，而不是 0。历史查询失败也不能解释为没有数据。

图表和日志保留所选时间范围。安全记录按日志中的发生时间统计；日志没有可用时间戳时使用发现时间，并明确标注。分页保留同一截止时间，刷新才重新核对延迟上报的记录。

开启安全采集后，探针每分钟检查可用日志，再随上报发送记录。安全页提供逐条事件及有记录分钟的统计，点击分钟可查看该分钟的记录。常见记录包括 SSH 登录失败、异常协议探测、Web 请求中的疑似攻击特征、封禁和文件变更。正常登录可单独查看。

安全页的「采集覆盖与状态」说明来源是否可用、权限不足及未能保存的记录。来源不可读或统计没有记录，都不能证明没有攻击。特征匹配不能证明入侵成功，网络流量上涨也不能直接认定为 DDoS。AntDock 展示观察到的证据，不会主动攻击服务器。

默认会尝试读取常见的 SSH 和 Nginx/Apache 日志路径。自定义 Web 日志可通过探针的 ANTDOCK_WEB_LOG_PATHS 环境变量配置，需保证服务进程具有读取权限；路径格式和支持的日志内容以当前探针的采集状态为准。先在安全页确认该来源显示为可读，再判断是否已接入。

在服务器采集配置中可关闭不需要的项目。完全移除探针时，使用该服务器详情「安装与维护」给出的卸载命令。停用采集和删除历史记录是不同操作，卸载不会把已有历史变成从未发生。