应急响应

网络安全 · 共 7 篇

当入侵真的发生，慌是最贵的成本。这篇讲清应急响应的定义、PDCERF 六阶段模型（准备/检测/遏制/根除/恢复/总结）、事件分级，以及一线人员拿到告警后的"黄金第一步"动作清单。

拿到一台"疑似被黑"的 Linux，按什么顺序查？这篇给出可照做的实战清单：账户异常、可疑进程、异常网络连接、后门与持久化（cron/systemd/ssh 后门）、恶意文件定位，以及内存与磁盘取证要点。

Windows 被入侵后，攻击者常用计划任务、服务、注册表启动项、WMI 事件订阅做持久化。这篇给出可照做的排查清单：异常账户、可疑进程、计划任务、服务、启动项、注册表 Run 键，以及事件日志怎么看。

网站被挂马、被上传 Webshell，是互联网业务最高频的安全事件。这篇讲清如何顺着 Web 访问日志找到入侵入口、如何识别与定位 Webshell 文件、如何判断利用了哪个漏洞，以及清理与验证要点。

应急的核心价值在于"查清发生了什么"。这篇讲清如何整合系统日志、Web 日志、安全设备日志与网络流量，建立攻击时间线，定位入口、横向路径与数据泄露范围，并介绍时间线工具与关联分析思路。

面对具体的恶意代码——挖矿木马、勒索软件、远控木马，应急处置有其特殊性。这篇讲清各类恶意代码的特征与处置顺序、勒索软件的"不要做"清单、样本如何安全取证，以及为什么恢复优先于查杀。

应急的终点不是"系统恢复了"，而是"写清发生了什么、怎么处置的、以后怎么防"。这篇讲清应急报告的标准结构、证据留存要点、复盘会怎么开，以及如何把教训变成加固项与流程改进。