# 网络安全应急响应（IR）全流程检查清单 遵循NIST六阶段模型：**准备→检测研判→遏制隔离→清除根除→系统恢复→事后复盘**；适用于漏洞入侵、勒索病毒、网页篡改、数据泄露、账号劫持、APT攻击等场景。 ## 一、事前准备（常态化检查，应急启动前必查） ### 1. 组织与预案 - [ ] 已建立应急小组（组长、技术取证、运维、法务、公关、对接公安），备有AB角通讯录 - [ ] 应急预案、分级标准、上报流程成文发布，明确四级事件分级（一般/较大/重大/特别重大） - [ ] 关键信息基础设施、等保三级系统：每年至少1次实战演练，半年1次桌面推演 - [ ] 提前留存：网安部门、属地网警、网络安全保险公司、第三方取证服务商联系方式 ### 2. 日志与取证能力 - [ ] 系统/数据库/防火墙/IDS/EDR/WEB日志留存≥6个月，关键业务留存1年以上，不可随意清空 - [ ] 具备内存取证（AVML、Volatility）、磁盘镜像（FTK Imager、dd）工具，并有离线加密存储介质 - [ ] 核心网络可抓取PCAP流量；云主机开启操作审计、堡垒机全程录像 ### 3. 备份与权限管控 - [ ] 重要数据存在**离线异地备份**，在线备份已与生产网络物理隔离，防止勒索病毒加密备份文件 - [ ] 管理员账号开启MFA多因素认证；禁止弱口令、共享账号；特权账号操作全程审计 - [ ] 边界防护：防火墙策略最小化，关闭不必要端口；远程运维仅允许堡垒机接入 --- ## 二、阶段1：检测与研判（事件初判，黄金15分钟） ### 1. 告警核实（排除误报） - [ ] 交叉验证：EDR告警 + 系统日志 + 流量日志 + 用户反馈，确认真实安全事件，不盲目处置 - [ ] 记录基础信息：事件时间（UTC）、触发源（告警/用户举报/外部通报）、受影响IP/主机名/业务系统 - [ ] 初步定位攻击类型：勒索病毒、漏洞入侵、账号爆破、网页篡改、数据泄露、内网横向移动 ### 2. 事件定级与启动响应 - [ ] 评估影响范围：单台终端→多台主机→域控/服务器集群→核心业务瘫痪 - [ ] 评估损失：业务中断、文件加密、数据外泄、财产损失、舆情风险 - [ ] 较大及以上事件：1小时内向主管部门与公安网安上报；重大事件半小时内上报网信部门，留存上报回执 - [ ] 开启事件工单，全程留痕，所有操作带时间戳 ### 3. 关键禁令（取证红线） ✅ 严禁直接重启、关机、Ghost重装主机（会丢失内存中的恶意进程、后门、密钥等易失证据） ✅ 严禁在失陷主机上双击运行杀毒软件、清理工具（会破坏取证现场） ✅ 严禁用管理员账号远程登录已失陷主机 --- ## 三、阶段2：遏制与隔离（止损，阻断横向扩散） ### 1. 网络隔离（先断网，再取证） - [ ] 物理断网：拔掉网线 / 禁用网卡，仅保留本机本地运行状态 - [ ] 边界封堵：防火墙封禁恶意IP、域名、端口；DNS拦截恶意域名；关闭对外出站通道 - [ ] 内网隔离：将失陷主机划入隔离VLAN；阻断服务器之间SMB、RDP、WMI等横向渗透通道 - [ ] 立即断开在线备份服务器网络，防止病毒加密备份数据 ### 2. 账号与会话紧急处置 - [ ] 禁用所有已失陷账号、域管理员账号、共享账号，强制下线所有远程会话 - [ ] 批量重置全网所有管理员密码，开启MFA；禁止使用相同口令 - [ ] 清理异常登录：异地登录、凌晨暴力破解、陌生IP远程桌面登录 ### 3. 现场取证（隔离后立刻执行） - [ ] 导出内存镜像（优先，易失数据优先采集） - [ ] 对系统盘、数据盘做只读磁盘镜像，计算MD5/SHA哈希，形成证据链保管记录 - [ ] 导出日志：系统安全日志、应用日志、WEB访问日志、防火墙流量日志、登录审计日志 - [ ] 导出进程、网络连接、启动项、计划任务、注册表、服务快照，留存恶意文件样本（木马、勒索程序、后门） - [ ] 填写证据保管链，专人保管加密证据盘 ### 4. 临时业务止损 - [ ] 切换备用业务集群；临时关停非核心外网服务；关闭暴露公网的高危端口（3389、445、22） --- ## 四、阶段3：根除威胁（清除恶意载荷，溯源攻击入口） ### 1. 恶意程序清理 - [ ] 全盘查杀：后门、木马、蠕虫、勒索程序、挖矿程序；清理计划任务、开机自启、隐藏服务、注册表残留项 - [ ] 排查持久化手段：WMI事件、组策略、定时任务、影子账户、进程注入、DLL劫持 - [ ] 勒索病毒场景：不要执行一键清理；无法彻底清除时直接全盘格式化重装系统 ### 2. 溯源攻击入口（核心排查项） - [ ] 外部入口：公网漏洞（Log4j、SQL注入、文件上传、弱口令）、钓鱼邮件、恶意附件、远程桌面爆破 - [ ] 内网横向：SMB爆破、Pass-the-Hash（哈希传递）、凭证窃取、域权限滥用 - [ ] 核查IOC：恶意文件MD5、攻击IP、恶意域名、后门路径、注册表键值，形成IOC清单，同步到WAF/EDR黑名单 ### 3. 漏洞闭环加固 - [ ] 修补本次被利用的系统漏洞、中间件漏洞、代码漏洞；关闭不必要服务与端口 - [ ] 修复弱口令，收紧权限，删除无用账号、影子账号 - [ ] 全网同类型主机批量扫描，排查同漏洞，防止多点失陷 --- ## 五、阶段4：业务恢复（安全优先，防止二次沦陷） ### 1. 恢复前置校验 - [ ] 确认备份文件干净无病毒，离线备份无被篡改痕迹；严禁直接使用未核验的在线备份恢复 - [ ] 恢复前先完成主机全盘格式化、重装纯净操作系统；不要在原系统上只做简单杀毒 - [ ] 先恢复单台测试机，上线观察24小时，确认无恶意进程、无外联行为，再批量恢复业务 ### 2. 分步上线 1. 先单机内网试运行，阻断外网访问 2. 开启全量日志、EDR实时监控，重点监控异常外联、进程创建、文件加密行为 3. 逐步放开网络策略，分批恢复业务，保留回滚方案 ### 3. 临时防护加强 - [ ] 临时收紧防火墙策略，只放行必要业务IP - [ ] 提升告警级别，对全网段开启暴力破解、异常文件修改、大量文件加密行为告警 --- ## 六、阶段5：事后复盘（48小时内完成，形成整改闭环） ### 1. 事件复盘文档 - 完整还原攻击链路：入侵入口→权限提升→横向移动→数据窃取/加密→持久化驻留 - 统计损失：中断时长、受影响主机数量、数据损失、经济损失、对外影响 - 复盘问题：防护短板、日志缺失、备份失效、人员操作漏洞、应急处置卡点 ### 2. 整改项落地（形成工单限期整改） - [ ] 修补漏洞、加固边界、完善账号权限体系 - [ ] 优化备份策略，落实离线异地备份，定期恢复演练 - [ ] 补充日志审计，完善EDR、流量监测规则 - [ ] 完善应急预案，针对本次事件更新专项处置脚本（勒索、入侵、数据泄露） ### 3. 归档与上报 - 全部取证材料、日志、处置记录、复盘报告统一归档留存，满足监管与公安取证要求 - 按监管要求完成事件事后上报，提交处置总结报告 --- ## 七、专项事件精简检查清单（直接复制使用） ### （一）勒索病毒应急（最高优先级） 1. 立即断网，**禁止关机**，阻断内网扩散；断开备份服务器网络 2. 内存+磁盘取证，留存勒索信、恶意程序、加密文件样本 3. 禁用所有管理员账号，重置全量密码，封堵445、3389端口 4. 溯源：钓鱼邮件→漏洞利用→弱口令远程登录；清理所有持久化后门 5. 不要支付赎金；优先使用离线干净备份恢复；无法恢复则全盘重装系统 6. 全网扫描同类漏洞，加固边界，关闭不必要共享 ### （二）网页篡改/网站入侵 1. 下线被篡改站点，临时切换静态页面，阻断恶意访问 2. 备份网站源码、数据库日志，留存木马webshell样本 3. 排查入侵入口：文件上传漏洞、SQL注入、弱口令、后台被爆破 4. 清除WebShell、后门、恶意代码；清理被篡改页面 5. 修复代码漏洞，部署WAF，限制后台登录IP，开启网站防篡改 6. 恢复纯净源码，重新上线，持续监控页面变更 ### （三）数据泄露事件 1. 立刻封禁泄露账号、关闭泄露接口，阻断数据外传通道 2. 固定日志，排查数据导出时间、访问IP、下载行为，确认泄露数据范围 3. 评估泄露数据是否包含个人信息，按法规要求落实个人信息保护义务，必要时上报监管部门 4. 修复权限漏洞，收紧接口访问权限，增加数据导出审计与二次审批 --- ## 八、应急处置红线（严禁违规操作） 1. 先取证，后处置；绝不先重启、重装、清理日志 2. 先隔离止损，再溯源排查，避免攻击横向扩散 3. 勒索病毒不盲目支付赎金，不使用网上不明解密工具，防止二次中毒 4. 涉及个人信息泄露、重大业务瘫痪，严格遵守网络安全事件上报时限，不得迟报、瞒报、漏报 5. 所有处置操作全程留痕，形成完整证据链，配合公安机关调查取证 --- ## 九、配套工具清单（可直接整理进预案） - 取证：FTK Imager、AVML（内存镜像）、Volatility、dd - 日志分析：ELK、Splunk、Windows事件查看器、Linux journalctl - 应急命令：进程快照、网络连接导出、网卡禁用、账号锁定脚本（Windows+Linux） - 威胁检测：EDR、WAF、病毒查杀、恶意进程排查工具