# 安全事件应急响应六步法（行业标准，蓝队通用，等保/护网/事件处置都适用） > 来源：NIST 计算机安全事件响应框架，国内政企、护网、等保测评普遍采用六阶段模型：**准备 → 检测与分析 → 控制（遏制）→ 根除 → 恢复 → 事后活动** ## 1. 准备阶段（事前，事件发生之前） 核心目标：**建设能力，做好预案，降低事件影响** - 制度预案：应急响应预案、分级处置流程、联系人清单、上报流程 - 技术平台：SIEM、EDR、防火墙、日志审计、备份系统（3-2-1备份策略） - 工具库：取证工具、IOC库、YARA规则、漏洞库 - 演练：定期桌面推演、实战演练；人员培训，明确角色（研判、取证、处置、上报） - 资产梳理：资产台账、资产分级、业务依赖关系 > 一句话：出事前建好体系、备好工具、练好人员。 ## 2. 检测与分析（发现告警，研判是不是安全事件） 核心目标：**确认事件真实性，搞清楚发生了什么、影响范围** 1. 告警来源：SIEM告警、EDR、WAF、用户上报、漏洞扫描、外部情报 2. 初步研判：区分误报/真实安全事件，对事件分级（严重/高危/中危/低危） 3. 取证溯源：收集日志、进程、网络、IOC；定位入侵时间、攻击入口、攻击路径 4. 影响评估：受影响资产、业务中断情况、是否数据泄露、是否横向扩散 输出：事件定级、攻击时间线、IOC清单、受影响资产清单 > 重点：**不急于直接操作，先收集证据**，防止破坏取证数据。 ## 3. 遏制（控制）阶段，也叫隔离/止损 核心目标：**阻止攻击继续扩散，防止危害扩大** 分两种遏制策略：短期遏制、长期遏制 - 网络层面：隔离受害主机、封禁恶意IP、断开恶意C2通信；防火墙/ACL阻断 - 账号层面：锁定被攻陷账号、撤销SSH免密密钥、重置管理员密码 - 业务层面：必要时下线高危业务系统 > 选择原则：优先保证业务最小影响，同时阻断攻击者继续横向移动。 > 注意：取证完成后再执行隔离；双重勒索事件，不要盲目断电，优先内存取证。 ## 4. 根除阶段（清除威胁、清除后门） 核心目标：**彻底移除攻击者的所有访问通道、持久化后门** - 排查并清除所有持久化项 Windows：计划任务、恶意服务、注册表启动项、WMI订阅、隐藏账号 Linux：Cron任务、Systemd恶意服务、SSH后门公钥、LD_PRELOAD、恶意内核模块 - 查杀恶意样本、WebShell、木马、勒索程序 - 修补本次入侵利用的漏洞（补丁、配置加固） - 全网狩猎：使用IOC/YARA在全网查找其他被感染资产，发现隐藏受害主机 > 关键点：**如果只清除一台机器，忽略横向移动，会再次被入侵** ## 5. 恢复阶段（业务恢复上线） 核心目标：**安全恢复业务，验证威胁不存在，业务回到正常状态** 1. 恢复前提：确认威胁已经完全根除，无残留后门 2. 恢复方式：优先使用干净离线备份恢复，不使用被感染环境内的备份 3. 分步恢复：核心业务优先上线，分批上线，边恢复边监控 4. 上线后持续观测：监测异常登录、外联、异常进程，防止攻击者还在环境内 ## 6. 事后活动（复盘，持续优化） 核心目标：**从事件学习，补齐防护短板，避免同类事件再次发生** - 事件复盘：还原完整攻击链，分析根因，总结本次应急的优点和不足 - 文档输出：完整事件报告，包含时间线、IOC、处置动作、根因、整改清单 - 优化加固：更新安全策略、SIEM规则、YARA/IOC库、应急预案 - 内部培训：同步事件经验，组织演练优化 --- # 速记口诀 **准备检测控，根除恢复评** 准备、检测分析、遏制控制、根除后门、业务恢复、事后复盘。 ## 事件分级参考（国内常用） - 严重：勒索加密、核心业务瘫痪、大量敏感数据外泄 - 高危：服务器被拿下、Web后门、管理员账号被劫持 - 中危：XSS、目录遍历、内网横向扫描 - 低危：版本泄露、非敏感信息泄露