1
2
3
4
5
6

第 1 步：确认事件并判断类型
第 2 步：先做内存取证（易失证据）
第 3 步：磁盘快照/镜像（持久证据）
第 4 步：隔离主机（断外网/禁网卡/安全组）
第 5 步：按类型排查（见下）
第 6 步：清理加固、复测、溯源报告

1
2
3
4

第一时间：断网隔离，防止加密扩散
保留证据：快照、样本（别乱删）
处置：查入口（RDP爆破/漏洞/钓鱼）→ 找解密点
善后：备份恢复、打补丁、封端口

1
2
3
4

先断外网或限制目录写执行
扫描全站 webshell，溯源上传入口
查 Web 日志（上传/访问特征）
清后门 → 修漏洞 → 加 WAF

1
2
3
4

查登录日志（成功登录时间、来源 IP）
锁定异常登录，强制改密、下线会话
查是否已横向（看该账号是否登录多机）
收紧口令策略、开双因子

1
2
3
4

重点：找到“失陷源头”和“扩散路径”
查多主机同账号登录、异常计划任务/服务
分段隔离，防继续扩散
全量排查后门与凭据

1
2
3

看异常进程、异常外联（矿池地址）
杀进程、清持久化（计划任务/服务）
查入口，加固暴露面

1

目标：还原“怎么进来的 → 做了什么 → 留下了什么”

1
2

从告警/最早异常时间找入口
入口优先级：Web 漏洞 > 弱口令 > 钓鱼 > 供应链

1
2

按时间排列：登录、命令、文件、外联、持久化
多主机日志交叉比对，找“跳板”路径

1
2
3

日志：登录/Web/防火墙/EDR
文件：webshell、恶意样本、被改配置
行为：进程、计划任务、服务、外联

1
2

哪些主机/账号/数据受影响
哪些凭据可能已泄露

1
2
3
4
5
6

登录日志（SSH/RDP/应用登录）
Web 访问日志（攻击 payload）
EDR/杀软告警（行为时间线）
防火墙/态势感知（外联、横向）
系统日志与命令历史
文件时间线（mtime/ctime）

1
2
3
4

先取证再处置（证据优先）
遏制优先于清理（先止血）
逐层清理（进程→文件→持久化→入口）
处置后复测（确认后门不复活）