应急响应完整指南：NIST 800-61 六步流程、取证命令、Windows/Linux 取证、报告编写。
写在前面：合法学习边界
应急响应只在授权环境进行。未经授权对系统取证可能触犯法律。
一、应急响应六步
1
| ① 准备 → ② 检测 → ③ 遏制 → ④ 根除 → ⑤ 恢复 → ⑥ 复盘
|
二、取证关键命令
1
2
3
4
5
6
7
8
9
10
11
| # 内存取证
ps aux · ss -tlnp · lsof -i
# 文件取证
find / -mmin -60 -type f · ls -la /tmp /dev/shm
# 日志取证
/var/log/auth.log · journalctl -u sshd
# 持久化检查
cat /etc/crontab · crontab -l · systemctl list-units
|
三、遏制措施
1
2
| 隔离受感染主机 · 断开网络连接
阻止攻击扩散 · 保留现场证据
|
四、小结
应急响应核心是快速遏制 + 保留证据 + 根除威胁。事前准备工具和方法论，事后复盘总结经验教训。