应急响应速查
入侵排查（进程 / 网络 / 账号 / 持久化 / 日志）+ 木马勒索处置 + 取证隔离要点：安全事件现场的分步排查清单。
应急流程与准备
事件分级、处置流程与工具准备
安全事件分级与响应等级判定
按影响范围、数据敏感度与业务中断时长把安全事件划为 P1-P4 四级，决定启动谁、先做什么、是否上报停机，避免大炮打蚊子或错失止损窗口。
黄金一小时处置清单
发现入侵后的第一个 60 分钟决定损失上限：先止损和保护现场，再谈清理与追查。给出逐段检查项与禁忌动作。
易失性数据采集顺序
按最易丢失优先原则采集：内存与运行状态、网络连接、进程信息、临时文件，最后才是磁盘。顺序错了，最先蒸发的证据最先没了。
断网还是关机：隔离方式取舍
隔离时优先拔网线而不是关机：关机丢内存证据，而断网即可切断 C2 回连与扩散路径，还保留了在线取证条件。
在线排查三条主线：连接、进程、持久化
时间有限时按外联、运行、持久三条主线切入：先看谁在通外网，再看进程画像，最后核对它靠什么活下来。
事件时间线记录方法
统一格式记录每个动作：UTC 时间、主机、动作、操作人。处置结束即可拼出可审计的时间线，复盘与取证报告直接复用。
网络层隔离与定向封禁
不动主机状态的前提下，在防火墙或边界设备上定向封禁 C2 地址、限制受控主机出入，实现低成本遏制。
影响范围与横向扩散初判
用同一 C2 地址、同一被控账号、同一样本哈希三条线索判断是否已横向移动；先圈范围再清理，避免边清边扩散。
应急响应工具箱（Linux 与 Windows）
断网环境下的离线工具清单：静态编译排查工具、哈希校验、内存采集器、便携杀软与取证套件，集中放在可信 U 盘随取随用。
处置前快照与关键目录备份
清理木马前先冻结现场：虚拟化平台打快照，物理机打包关键目录并生成哈希清单，防止清理动作不可逆地破坏现场。
只读方式挂载镜像与证据盘
挂载证据盘或磁盘镜像必须只读：禁止日志回放改写原盘，避免挂载动作本身改变证据；镜像文件用只读回环设备。
口令与凭据重置的正确顺序
改密的顺序与场所比改密本身更重要：从干净终端操作，先管理入口后业务账号，改完复核登录记录，防止后门回读新口令。
应急小组角色分工与现场纪律
明确指挥、排查、取证、记录、通报五类角色，规定同一时刻只允许一人操作现场主机，避免多人登录互相踩踏证据。
rkhunter 后门与 rootkit 初筛
rkhunter 对常见 rootkit、SUID 异常、文件属性与启动项做快速体检，适合现场第一轮筛查，输出再人工复核。
处置优先级四原则
止损优先于追凶、取证优先于清理、恢复优先于完美、复盘优先于收工：资源有限时的排序方法，以及把决策写进时间线。
busybox 静态工具应急排查
系统自带命令被替换或损坏时，用静态编译的 busybox 提供 ps、netstat、find 等基础能力，绕过被劫持的 PATH。
chkrootkit 常见篡改检查
chkrootkit 检查 ls、ps、netstat 等系统二进制是否被替换，以及常见 LKM 与网卡混杂模式，适合与 rkhunter 交叉验证。
事件复盘报告结构
复盘报告的标准骨架：时间线、根因、影响、处置动作、改进项（负责人加截止日），附对外沟通口径与附件清单。
事件通报与升级路径
明确谁在什么时限内通知谁：安全团队、业务负责人、法务合规，必要时监管与客户。通报要素用一段式模板，防止信息缺项来回问。
桌面演练（Tabletop）组织要点
不发生真实事件的低成本练兵：用剧本加决策点表组织两小时演练，暴露流程与通讯录的洞，而不是考技术。
登录会话与桌面状态记录
处置前记录在线会话、打开的终端窗口与异常弹窗（勒索信、钓鱼窗口）：这些现场状态关机即失，日志也无法完整还原。
时间校验与时钟状态记录
日志时间线错位的源头多半是时钟漂移：排查开始先记录主机时间与同步状态，跨主机比对前先统一口径。
主机基线信息采集（档案抬头）
把系统版本、内核、补丁级别、开机时间与主机名一次性采集齐，作为事件档案抬头与同批主机横向比对的基底。
带外沟通渠道与口令传递
处置期间假定内部邮件与即时通讯可能已被监听：改用带外渠道（电话、独立群、临时会议桥）沟通，口令走当面或加密信使。
进程与连接排查
可疑进程、隐藏进程与异常连接定位
ps 查看进程快照热门
最基础的进程排查命令：查看全量进程、启动时间与完整命令行，按启动时间或资源排序快速锁定可疑进程。
ss 查看连接与监听端口热门
iproute2 的新一代连接查看工具：一次列出 TCP/UDP 连接、状态、进程与端口，是外联排查的首选入口。
top 快速定位高占用的挖矿进程
挖矿木马的典型特征是 CPU 长期跑满：用 top 批处理模式抓快照，按 CPU 排序锁定嫌疑人，再看启动时间与命令行。
lsof 按进程或端口反查网络
万能文件查看器：既能看到进程开了哪些网络文件，也能从端口反查监听者，配合过滤参数精确定位。
从 /proc/PID/exe 发现已删除仍运行的进程
进程可执行文件显示 (deleted)：常见于恶意程序自删或升级覆盖后仍在运行；可直接从 /proc 恢复出文件样本。
ps 与 /proc 对比发现隐藏进程
把 ps 输出的 PID 集合与 /proc 下的数字目录集合做差集：只在 /proc 里出现的 PID，就是被工具层过滤掉的隐藏进程。
tcpdump 抓包验证可疑外联
日志或 ss 显示可疑外联时，抓一小段包看真实数据特征：心跳周期、明文协议、TLS SNI 都能说明问题。
Get-CimInstance 进程画像（含命令行）
PowerShell 下用 Win32_Process 一次拿到 PID、父进程、可执行路径与完整命令行，比任务管理器信息全得多。
Get-NetTCPConnection 连接排查
PowerShell 的网络连接查看：按状态过滤，结合 OwningProcess 直接定位到进程，输出比 netstat 更好处理。
终止进程前先完成进程画像
kill 之前把 exe、cwd、哈希、网络连接、环境变量一次性记录：进程一死，这些现场信息大多再也拿不回来。
进程树与父子关系（pstree）
从父子关系切入比单看进程更有效：Web 服务叉出 bash、sshd 下面挂着奇怪子进程，往往一眼可见。
定位进程工作目录与根目录
/proc/PID/cwd 与 /proc/PID/root 分别指向进程的工作目录与它眼里的根目录：快速找到木马落地目录，也能识别 chroot 类隐藏手法。
netstat -ano 与 tasklist 关联
老派但可靠的组合：netstat -ano 给出连接与 PID，再用 tasklist 按 PID 反查进程名，任何 Windows 版本都能用。
通过 inode 反查占用端口的进程
连接缺少进程归属时（老内核、无权限、容器命名空间），用 socket inode 从 /proc 里反查是哪个进程持有的。
netstat 传统连接查看
net-tools 时代的经典命令，老系统与部分精简发行版仍在用；理解它的输出才能与存量文档和老截图对齐。
检查进程内存映射中的可疑库
/proc/PID/maps 列出全部映射段：出现 /tmp、/dev/shm 下的 .so 或没有路径的可执行匿名段，是用户态劫持与内存马的典型信号。
连接状态与端口分布统计
对现存连接做聚合统计：按状态、对端 IP、端口排序，异常外联与爆破源会从数字里自己跳出来。
tasklist 排查 Windows 进程
Windows 侧最通用的进程清单工具：按 CSV 输出可排序过滤，结合服务与窗口标题快速筛出可疑进程。
检查进程环境变量中的劫持与凭据
/proc/PID/environ 保存启动瞬间的环境变量：LD_PRELOAD 劫持、异常代理、甚至明文凭据都常在这里露出。
识别伪装成内核线程的木马
内核线程（kthreadd 的子进程）命令行显示为带方括号的 [kworker/0:0] 形式；无方括号、PPID 也不是 2 的"内核线程"高度可疑。
直读 /proc/net/tcp 内核连接表
ss 与 netstat 都从 /proc/net/tcp 取数：工具被劫持时直接读内核表，地址与端口是十六进制小端序，需要转换。
unhide 专查隐藏进程与端口
unhide 用多种系统调用交叉比对（工具视图与内核视图）找出被隐藏的进程、线程与端口，分 quick 与 brute 两档。
按进程统计连接数（找扫描与爆破源）
哪个进程连接数异常高，往往就是扫描器、爆破脚本或代理转发：把 ss -p 输出里的 pid 字段聚合排名即可锁定。
追踪 PPID=1 的孤儿与守护进程
进程父级变成 init/systemd（PPID=1）很常见（服务与 daemon 化），但对不该出现的主体（如 Web 用户、交互式 shell）就是警报。
高负载低 CPU：揪出 D 状态进程
负载飙高但 CPU 空闲，通常是进程阻塞在不可中断 IO（D 状态）：先定位卡点进程，再查它在等什么设备。
账号与后门排查
异常账号、SSH 后门与 sudoers 检查
SSH 授权公钥全盘排查热门
拿到一次 shell 的攻击者常往 authorized_keys 塞自己的公钥实现免密回访：所有家目录的该文件都要过一遍。
登录历史 last 与 lastb 与 lastlog 三件套
三个维度看登录：last 看成功、lastb 看失败、lastlog 看每个账号最近一次。攻击者的登录时间与来源 IP 最先在这里暴露。
检查 /etc/passwd 中的 UID 0 账号
攻击者最爱的后门之一：新增 UID 为 0 的账号，权限等同 root 但名字不叫 root，肉眼扫一眼很难发现。
Shell 历史排查（bash_history 取证）
命令历史是攻击手法最直接的旁证：找到所有用户的历史文件，识别被清空、被替换（软链到 /dev/null）或被改路径的情况。
sudoers 提权配置排查
sudo 免密或全权配置是常见留后门方式：检查 /etc/sudoers 与 /etc/sudoers.d 下所有 NOPASSWD 与通配条目。
sshd_config 后门与降险配置检查
sshd 配置被改动即可开长期后门：AuthorizedKeysFile 指向诡异路径、PermitRootLogin yes、放行转发都可能被滥用。
按时间定位可疑 Web 文件
Webshell 的落地时间通常与入侵时间吻合：按修改时间列出 Web 根目录下近几日变更的脚本文件，优先审最新的一批。
Webshell 特征关键字扫描
用特征函数（eval/assert/系统命令）在 Web 目录里扫一遍：命中多但误报高，需结合参数来源与文件来源判断。
Windows 本地账号排查（net user 与 Get-LocalUser）
先枚举本地账号与状态：陌生账号、被启用的 Guest、带 $ 后缀的隐藏账号，都是入侵者最常留下的登录入口。
检查 /etc/shadow 空口令与锁定状态
/etc/shadow 第二字段是口令哈希：为空即空口令可直接登录，感叹号或星号表示锁定，异常哈希格式同样要警觉。
SUID 与 SGID 文件排查
SUID 位让普通用户以文件所有者（常见是 root）权限执行：找出全盘 SUID/SGID 文件，与软件包清单比对剔除正常项。
排查近期新增账号与家目录
入侵者留后门账号后，passwd/shadow 与家目录的修改时间会同步变新：用文件时间与家目录变化交叉定位新增账号。
当前在线会话核查（w 与 who 与 loginctl）
先确认现在还有谁连着：正在线的未知会话意味着攻击者还没走，处置顺序必须先断其通道再清理。
Windows 管理员组成员核查
管理员组的每个成员都值得逐条确认：入侵者常把自己加入 Administrators 或 Remote Desktop Users 留门。
公钥指纹比对与注释识别
authorized_keys 每行都能编译成指纹：用 ssh-keygen -lf 批量出指纹与注释，与团队已知密钥清单比对，未知即嫌疑。
可疑账号处置：先禁用后删除
直接删账号会同时抹掉登录历史与 SID 关联：正确顺序是记录、禁用、断会话与密钥、观察期后再删除。
PAM 后门检查（pam_unix 模块被替换）
替换 pam_unix.so 可实现万能口令登录，属于最难察觉的登录后门：用包管理器校验与哈希比对抓它。
不可变属性（chattr +i）与删不掉的文件
攻击者给木马文件加 i 属性防删除，删不掉时先看文件属性，再决定解锁与处置顺序。
HISTFILE 与命令历史隐藏手法
把 HISTFILE 指向 /dev/null 或设 HISTSIZE=0，命令就不落盘：检查 shell 启动文件与运行进程环境里的此类设置。
Linux capabilities 提权点排查
文件 capabilities 让普通程序获得部分 root 能力（如 cap_setuid 直接切换身份）：比 SUID 更隐蔽，用 getcap 全盘检查。
检查 ~/.ssh/rc 与 sshrc 登录钩子
sshd 在登录会话建立时会执行 ~/.ssh/rc 或 /etc/ssh/sshrc：这两个位置名字低调，是登录触发的隐蔽据点。
检查 /etc/skel 模板注入
/etc/skel 是新用户家目录的模板：往里放 .bashrc 或 .ssh 目录，日后每个新建账号都会带上攻击者的钩子。
用 getent 检查跨库账号一致性
本地 passwd 干净不代表没有后门：LDAP/sssd 接入的账号要经过 NSS 合并后检查 UID 0 与重复 UID。
持久化与计划任务
crontab、systemd、开机项与启动脚本
全用户 crontab 排查热门
定时任务是木马存活的第一大温床：遍历系统里所有用户执行 crontab -l，能看到每条计划任务的时间与命令。
Windows Run 注册表启动项热门
经典自启位置：HKLM 与 HKCU 的 Run/RunOnce 键，外加 Wow6432Node；逐键导出核对，陌生值即嫌疑。
自定义 systemd 服务排查
systemd 单元是现役 Linux 最主流的持久化点：列出启用中的单元与 /etc/systemd/system 下的新增文件，逐个确认来源。
登录脚本持久化排查（profile 与 bashrc）
把 curl | bash 或反弹命令塞进 /etc/profile、bashrc，每次登录都触发：排查用户会话时不可跳过的一站。
Windows 计划任务排查
任务计划是 Windows 侧最常用的持久化方式：列出全部任务与触发器、动作，重点盯非微软路径与隐藏任务。
检查 /etc/crontab 与 /etc/cron.d
系统级任务除了 crontab -l 还有三处：/etc/crontab、/etc/cron.d 单文件、各 cron.* 目录；cron.d 里的小文件最不易察觉。
检查 /var/spool/cron 原始任务文件
crontab 命令只列当前活跃用户的任务：被删账号遗留的任务文件仍在 spool 目录里照常执行，直接看文件更完整。
systemd timer 定时任务排查
与 cron 平行的一套定时机制：timer 加 service 组合，list-timers 看排期，cat 看它到底在跑什么。
Windows 服务持久化排查
服务是权限最高、最稳定的自启方式：陌生服务、非常规路径、缺失引号的路径都要查。
检查 cron.hourly 等目录与 anacron
/etc/cron.hourly、daily、weekly、monthly 是脚本目录，与 anacron 组合运行，是放一个脚本就长期执行的便捷入口。
容器环境持久化排查（Docker）
宿主机跑着 Docker 时持久化面要多算一层：restart=always 的恶意容器、特权模式与挂载宿主目录都是常见手法。
Winlogon Userinit/Shell 劫持排查
Winlogon 键的 Userinit 与 Shell 决定用户登录时执行什么；正常值极简单，一旦被追加额外路径，每次登录都会拉起攻击者程序。
WMI 事件订阅持久化排查
攻击者用 __EventFilter、__EventConsumer、__FilterToConsumerBinding 三件套，让系统在指定事件（如开机后周期）执行任意命令，无文件、无计划任务痕迹。
ld.so.preload 动态库劫持排查
glibc 的 /etc/ld.so.preload 会让指定库注入所有新进程：木马借它实现全局隐藏与凭据收割，正常系统里该文件通常不存在。
IFEO Debugger 映像劫持排查
攻击者给目标程序登记 Image File Execution Options Debugger，双击正常程序名却启动攻击者程序，也常被用于禁用任务管理器与安全软件。
检查 rc.local 与开机执行脚本
传统但至今有效的开机自启点：rc.local 在多数发行版仍可启用，塞一行命令就能长期驻留。
桌面自启 XDG autostart 排查
图形桌面登录后，桌面环境会执行 ~/.config/autostart 与 /etc/xdg/autostart 里的 .desktop 项；攻击者写入一项即可在管理员登录桌面时拉起后门。
Windows 启动文件夹排查
启动文件夹分用户级与全局级两处，登录时自动执行；快捷方式的真实 Target、脚本内容与文件签名是快速定性入手点。
SysV init 脚本与 rc 目录排查
老式服务的 /etc/init.d 脚本与 rcN.d 符号链接：兼容层让它们照常自启，陌生脚本与失效链接都值得盘查。
BITS 任务持久化排查
BITS 传输任务重启后保留并可自动重试，被用来周期性下载载荷；任务的所有者账号与远端 URL 是定性关键。
udev 规则 RUN 后门排查
自定义 udev 规则可在设备事件（插拔、网络变化）时以 root 执行 RUN 命令；不依赖 cron 也能反复触发，是 Linux 上较隐蔽的持久化点。
登录横幅脚本劫持（update-motd）
Ubuntu 系每次登录会执行 /etc/update-motd.d 下的脚本刷新横幅：塞一个脚本进去，登录触发逻辑就有了。
at 一次性任务排查
at 任务只执行一次、藏得比 cron 深：atq 列出，at -c 看内容，适合几小时后回来干活的延迟动作。
APT/DPKG 钩子后门排查
apt.conf.d 与 dpkg 配置里的 Invoke 钩子会在装包、升级时以 root 执行命令；攻击者借此让后门在管理员做例行维护时自动复活。
日志分析
登录日志、Web 日志与时间线还原
SSH 爆破日志分析与成功判定
从 auth.log/secure 提取失败来源与频率，并把失败与成功记录对照，判断爆破是否已经突破——只统计失败量没有意义。
journalctl 时间窗与单元过滤
按时间窗、服务单元与优先级检索 systemd 日志，是 Linux 事件时间线的主要素材；支持导出 ISO 时间或 JSON 对接分析。
账号创建与特权分配事件查询
4720 新建、4722 启用、4732 加组、4672 特权分配：把账号生命周期事件串起来，就是后门账号从建立到提权的完整链条。
Windows 4625 登录失败分析
4625 记录每次登录失败；按账号与来源 IP 聚合，判断是否定向爆破，并关注失败之后的成功登录。
日志清除事件 1102 检测
1102 表示安全日志被清除，几乎总是需要核实的动作；System 通道的 104 同属日志清除记录。
多源日志时间线重建
把 auth、nginx、audit 与命令历史按统一时区排序合并成事件表，是还原「攻击者做了什么」的主线方法。
Web 访问日志扫描统计
用 awk 对 access.log 按状态码、来源与路径聚合：404 洪水、单 IP 高频请求与陌生 UA 往往就是扫描器与漏洞探测。
Windows 4624 登录类型判别
4624 的成功登录要看类型与来源：远程交互（10）与网络（3）里出现陌生来源或管理账号，是入侵判定的关键证据。
PowerShell 4104 脚本块日志
开启 ScriptBlockLogging 后 4104 记录脚本块内容，可还原混淆脚本的真实逻辑；前提是策略在事发前已启用。
进程创建审计 4688 排查
开启审核后 4688 记录进程创建，用它还原入侵者在主机上执行过的程序；命令行参数需额外开启才会出现。
ausearch 审计日志检索
ausearch 按事件类型、时间与规则键检索 audit.log；aureport 提供登录与执行概览，是 Linux 审计的主要查询入口。
抓包文件快速分析
现场抓包与事后 pcap 复盘：先看会话分布、DNS 查询与上下行体量，再决定深挖哪条流。
sudo 提权使用审计
sudo 日志回答「谁在何时提权做了什么」；重点看非常规账号、非常规命令与入侵时间点吻合的提权记录。
事件日志导出与哈希固定
取证要求保存原始 evtx 而非文本：wevtutil epl 按通道导出，查询用 qe；导出后立即计算哈希并登记证据清单。
Web 错误日志定位根因
访问异常先看错误日志：502/504 上游问题、权限拒绝、配置错误都会留下比 access.log 更直白的证据。
登录失败记录与锁定状态核查
btmp/wtmp 与 pam_faillock 给出账号维度的登录失败与锁定情况；交叉 auth 日志可判断记录是否被清空。
RDP 连接与来源记录查询
远程桌面连接在 TerminalServices 通道留下 1149 记录（含来源 IP 与账号），与 4624 Type 10 互相验证。
cron 执行历史核对
cron 执行记录能证明计划任务是否真的运行过、以哪个用户执行；与 crontab 内容对照可发现「跑过但配置已删」的痕迹。
攻击来源 IP 聚合与封禁决策
把失败来源按 IP 汇总后再决定封禁；注意 NAT 与云出口场景，封 IP 前先评估误伤与共享出口风险。
journal 持久化配置与断档检查
排查前先确认 journal 是否落盘：volatile 模式重启即失；已落盘也要看是否被清理、替换导致断档。
auditctl 临时规则补录
处置中临时补充监控：记录命令执行（execve）与关键文件写入，事件带 key 便于 ausearch 精确定位。
日志断档与完整性判断
日志断档既可能是正常轮转，也可能是人为清除：用行数、按小时分布与文件时间戳交叉判断，别急着下结论。
Web 日志投毒与异常字符识别
访问日志可被注入换行与控制字符（日志投毒），排查时关注不存在于正常流量的编码字符、超长请求与异常 CR 数量。
logrotate 配置篡改排查
logrotate 配置与状态文件被改动，可能让痕迹提前轮转清除或让日志跳过轮转；重点核对新增片段与修改时间。
勒索与木马处置
加密文件、挖矿进程与清除步骤
勒索加密特征与勒索信识别
识别勒索先看三件事：文件被追加的扩展名、勒索信文件名、加密时间是否高度集中；先归档样本再谈处置。
加密进行中的止损顺序
加密进行时先阻断网络与横向移动，再判断是否仍在加密；关机与内存取证的取舍要记录理由。
Webshell 定位与清除
清除关键在「先找全再删干净」：修改时间、特征函数与访问日志三路交叉定位，删后复扫并观察。
木马清除标准顺序
木马清除的正确顺序：断回连、定位、清进程与持久化、复扫验证；顺序错会反复复发。
SSH 爆破成功后的清理链
爆破成功后按链条清理：可疑会话→后门账号/密钥→计划任务→植入工具；每一步先留证再动手。
挖矿进程识别与处置
挖矿主机典型特征：CPU 常年跑满、外连矿池端口、进程名仿冒系统组件；处置要连启动链一起清，否则必复发。
持久化点集中清理清单
按清单全量清理持久化：cron、systemd、rc.local、profile、ld.so.preload、SSH 密钥、Docker 与 Windows 计划任务/服务；漏一处就复发。
卷影副本与备份状态核验
勒索软件常先删卷影再加密；检查卷影与 wbadmin 备份是否还在，直接决定本地恢复的可行性。
rootkit 清除与重装判据
rootkit 处置的核心是判据：内核级污染（模块、hook）无法可靠清除时，重装优于现场清理。
PHP webshell 免杀特征排查
现代 webshell 常用拼接、编码与动态函数绕过关键字检测；排查要结合位置、时间与访问行为，而不是只搜函数名。
备份可用性验证
恢复前先验证备份：完整性、时间点与可读性都要过一遍，最好在隔离环境先做恢复演练。
顽固进程终止顺序与取证
终止顽固进程前先看进程树与守护关系；/proc 信息在 kill -9 后消失，先快照再动手。
Windows 自启项清除顺序
自启项清除顺序：导出清单→禁用→观察→删除→复验；Run 键、计划任务、服务与 WMI 订阅要全部覆盖。
数据恢复前的来源核验
恢复前确认备份时间点早于入侵，并在隔离网段验证恢复数据不含后门；脏备份会把攻击者一起恢复进来。
Redis 未授权利用后处置
Redis 未授权/弱口令被利用的典型结果是写 SSH 公钥 + 植入挖矿；处置要同时清配置、密钥与计划任务。
勒索家族识别与解密路径
解密的前提是家族匹配：勒索信、扩展名与样本哈希三样齐全后再查公开解密器；不存在通用解密。
赎金决策与证据准备
赎金决策涉及合规上报、保险条款与二次敲诈风险；技术侧职责是备齐证据与恢复方案，支撑管理决策。
Windows Defender 命令行扫描
应急时用 MpCmdRun 做补充扫描：支持更新签名、快速与全盘扫描、自定义路径扫描；适合脚本化与远程执行。
ld.so.preload 后门清理
预加载后门通过 /etc/ld.so.preload 注入所有进程；清理要同时处理配置与恶意 .so，并核验系统库完整性。
加密影响范围统计
按目录、扩展名与时间窗统计加密文件的数量与体量，形成损失评估的数字依据，支撑恢复优先级与上报口径。
ClamAV 扫描与隔离
ClamAV 用前先更新病毒库，扫描用 -i 只显示命中；确认后再隔离，避免直接批量删除造成误伤。
恶意样本哈希归档与打包
样本处置规范：先算哈希固定，再密码打包，登记来源与操作人；全过程禁止直接运行样本。
IoC 整理与共享
把发现的 IP、域名、哈希整理成结构化清单（值 + 上下文 + 时间 + 置信度），便于全网检索与对外共享。
清除后复扫与观察期
清除完成后进入观察期：复扫文件、监控复发迹象、对照持久化清单复查，确认事件可关闭再宣布结束。
取证与隔离
现场保护、证据固定与恢复上线检查
证据链与保管记录
证据链记录从采集到归档的每次移交：谁、何时、为何、做了什么；缺一环，证据的可用性就受影响。
dd 磁盘镜像与校验
用 dd/dcfldd 制作磁盘或分区镜像：核对设备与容量，边写边算哈希，完成后校验一致性。
易失性证据采集顺序
按易失性顺序采集：内存→网络→进程→临时文件→磁盘；顺序错误会先丢最关键的证据。
Volatility 内存分析入门
内存分析先识别镜像，再跑进程与网络基础插件，最后用 malfind 等深挖注入痕迹。
LiME 内存采集（Linux）
Linux 内存采集用 LiME 模块：模块需匹配内核版本，镜像输出到外部介质，采集后立即哈希固定。
主机断网方式选择
主机级断网两条路线：禁用网卡/拔线（彻底）或防火墙白名单（保留管理通道），按现场需要取舍。
Windows 主机取证产物
Windows 取证常看四类产物：Prefetch（运行痕迹）、Amcache（执行/安装）、ShimCache（曾存在）、UserAssist（交互）。
ddrescue 坏盘镜像取证
故障盘镜像用 ddrescue：多轮小步读取、mapfile 续传，先把好区域取下来，再逐轮回补难读区。
WinPmem 内存采集（Windows）
Windows 内存采集常用 WinPmem：命令行直接输出 raw 镜像，随后计算哈希并登记维护链。
证据清单（MANIFEST）生成
证据清单把每个文件的路径、大小、哈希、来源与时间登记在册；移交与分析都以清单为基准。
Windows 日志批量导出
批量导出 Security/System/Application/PowerShell 通道到证据目录，全部计算哈希登记，作为后续分析基础。
Linux 主机取证产物
Linux 取证产物：命令历史、/var/log 全套、/etc 关键配置、临时目录残留与被删文件句柄。
plaso 时间线生成流程
大规模时间线用 plaso 生成：log2timeline 解析多源产物为 plaso 文件，psort 转换并按时间窗过滤。
清理与重装的决策依据
现场清理还是重装系统：看入侵深度、持久化数量与是否已拿到最高权限；结合组织风险偏好决策并留痕。
交换机层隔离操作
网络层隔离优先于关机：端口 shutdown、VLAN 挪移或 ACL 阻断，既切断横向，又保留主机运行证据。
取证挂载防写保护
取证挂载必须防写：块设备置只读、读卡器写保护、只读挂载副本；任何分析动作都不能污染原件。
Linux 日志与审计导出
导出 audit 日志、syslog 族与 wtmp/btmp 等二进制记录，打包并哈希，标明采集时间窗。
时间戳篡改迹象识别
时间戳篡改的迹象：mtime 早于 ctime、批量文件时间一致、时间早于系统安装；用四时间戳与日志时间线对照。
恢复上线前的加固顺序
恢复后的加固顺序：先补丁与基线，再改凭据与网络限制，最后做业务验证与安全复扫。
事件收尾报告要素
收尾报告要素：时间线、根因、影响、处置动作、遗留风险与改进项；没有复盘的处置不算真正完成。
内存 strings 快速筛查
内存镜像快速筛查：strings 提取 URL、IP、域名与命令片段，与进程列表互证定位承载进程。
恢复上线核查清单
恢复上线的核查项：服务自启、端口、域名与证书、备份与监控、审计与防病毒、日志采集全部就位。
合规上报与报案要点
合规上报：先确认上报义务与时限，保留原始证据材料，对外统一口径，按模板提交时间线与影响范围。
证据存储与副本管理
证据存储要求：至少两份副本、离线或异地一份、访问受控并定期校验哈希，保管期按合规要求执行。