应急响应处置与事件溯源实战

Sat, 29 Aug 2026 23:10:00 +0800

写在前面：合法学习边界

应急响应面向真实事件，处理过程须保留证据、合法合规。

先取证再隔离（内存 → 磁盘 → 隔离），下图是标准取证流程。

1
2
3
4
5
6


第 1 步：确认事件并判断类型
第 2 步：先做内存取证（易失证据）
第 3 步：磁盘快照/镜像（持久证据）
第 4 步：隔离主机（断外网/禁网卡/安全组）
第 5 步：按类型排查（见下）
第 6 步：清理加固、复测、溯源报告

1
2
3
4


第一时间：断网隔离，防止加密扩散
保留证据：快照、样本（别乱删）
处置：查入口（RDP爆破/漏洞/钓鱼）→ 找解密点
善后：备份恢复、打补丁、封端口

1
2
3
4


先断外网或限制目录写执行
扫描全站 webshell，溯源上传入口
查 Web 日志（上传/访问特征）
清后门 → 修漏洞 → 加 WAF

1
2
3
4


查登录日志（成功登录时间、来源 IP）
锁定异常登录，强制改密、下线会话
查是否已横向（看该账号是否登录多机）
收紧口令策略、开双因子

1
2
3
4


重点：找到“失陷源头”和“扩散路径”
查多主机同账号登录、异常计划任务/服务
分段隔离，防继续扩散
全量排查后门与凭据

1
2
3


看异常进程、异常外联（矿池地址）
杀进程、清持久化（计划任务/服务）
查入口，加固暴露面

1

目标：还原“怎么进来的 → 做了什么 → 留下了什么”

1
2


从告警/最早异常时间找入口
入口优先级：Web 漏洞 > 弱口令 > 钓鱼 > 供应链

1
2


按时间排列：登录、命令、文件、外联、持久化
多主机日志交叉比对，找“跳板”路径

1
2
3


日志：登录/Web/防火墙/EDR
文件：webshell、恶意样本、被改配置
行为：进程、计划任务、服务、外联

1
2


哪些主机/账号/数据受影响
哪些凭据可能已泄露

1
2
3
4
5
6


登录日志（SSH/RDP/应用登录）
Web 访问日志（攻击 payload）
EDR/杀软告警（行为时间线）
防火墙/态势感知（外联、横向）
系统日志与命令历史
文件时间线（mtime/ctime）

1
2
3
4


先取证再处置（证据优先）
遏制优先于清理（先止血）
逐层清理（进程→文件→持久化→入口）
处置后复测（确认后门不复活）

应急响应的核心不是“会几条命令”，而是按事件类型选对处置路径 + 按方法论做溯源。勒索先隔离、Webshell 先查入口、爆破先锁账号、横向先分段。把“定起点 → 串时间线 → 找证据 → 定影响面”这套溯源流程练熟，才能把事件讲清楚、处置干净。