处置前快照与关键目录备份
清理动作几乎不可逆：删掉的文件、改回的配置、重装的系统都无法还原。所以在动手之前要先把现场冻住——虚拟化环境打一份快照，物理机把关键目录打包并生成哈希清单。备份的优先级是虚拟机快照高于磁盘镜像高于目录打包，因为这三种方式能还原的信息量依次递减。关键是备份必须存到独立介质上，存回受害主机等于没备份。
基本信息
| 优先级 | 虚拟机快照优先，其次磁盘镜像，最后是关键目录打包 |
|---|---|
| 必打包目录 | /etc、计划任务目录、SSH 配置与密钥文件、Web 目录清单、日志目录 |
| 记录要求 | 生成 sha256 清单并记录打包时间与操作人 |
| 存放要求 | 独立介质或证据服务器，禁止存回受害主机 |
| 快照注意 | 快照与虚拟机磁盘不要放在同一存储池，避免一起被加密或删除 |
| 验证方式 | 解包校验一次，确认备份内容完整可用 |
典型使用场景
- 清理木马前冻结现场，避免误删后无法还原
- 被加密的虚拟机在做业务恢复前保留一份可回溯的状态
- 批量清理多台主机前统一做一次备份，便于统一交付与复核
- 处置结束后需要用原始状态对账，确认改动范围
- 为复盘提供当时的配置文件与任务表原文
打包关键配置并生成哈希清单
打包关键配置并生成哈希清单
mkdir -p /evidence/pre_clean
sudo tar -zcPpf /evidence/pre_clean/etc_$(date +%F).tgz /etc 2>/dev/null
tar -zcPpf /evidence/pre_clean/cron_$(date +%F).tgz /var/spool/cron /etc/cron.d /etc/crontab 2>/dev/null
tar -zcPpf /evidence/pre_clean/ssh_$(date +%F).tgz /root/.ssh /etc/ssh 2>/dev/null
cd /evidence/pre_clean && sha256sum *.tgz | tee MANIFEST.sha256
sha256sum -c MANIFEST.sha256 | tail -n 5 # 校验备份完整性
ls -lh /evidence/pre_clean/ # 核对体积是否合理方式对比
| 方式 | 能还原什么 | 代价与限制 |
|---|---|---|
| 虚拟机快照 | 整机状态，可快速回退 | 与虚拟机文件同池时有一起被破坏的风险 |
| 磁盘镜像 | 完整磁盘内容，可离线分析 | 耗时长，需要等量或更大的存储空间 |
| 目录打包 | 关键配置与任务表原文 | 体积小、速度快，但不含运行态与内存 |
| 内存采集 | 运行态与未落地载荷 | 必须关机前完成，工具与空间需提前准备 |
| 日志归档 | 事件期间的行为记录 | 需在日志被轮转或清理前完成 |
备份存回受害主机等于没有备份：加密脚本或清理脚本会连备份一起处理。备份介质应在处置期间保持离线，不要挂载在受害主机上。
备份完要验证：解包一次、核对哈希、确认关键目录确实在包内。没有验证的备份在真正需要恢复时才会暴露问题，而那时已经错过了处置窗口。