| 第 1 步 | 隔离受害主机后再改密 |
|---|---|
| 第 2 步 | SSH/面板/数据库等管理口令 |
| 第 3 步 | 业务账号与 API 密钥 |
| 第 4 步 | 复核 last 与登录审计无残留会话 |
改密前后快速核查
改密前后快速核查
passwd -S root # 查看口令状态
last -ai | head -n 10 # 改密后复查登录
pkill -KILL -u ops # 谨慎：终止可疑残留会话（先确认业务影响）不要在疑似被控主机上改密：键盘记录与内存马会截获新口令。
本包目录（168 条）
应急流程与准备24 条
- 安全事件分级与响应等级判定
- 黄金一小时处置清单
- 易失性数据采集顺序
- 断网还是关机：隔离方式取舍
- 在线排查三条主线：连接、进程、持久化
- 事件时间线记录方法
- 网络层隔离与定向封禁
- 影响范围与横向扩散初判
- 应急响应工具箱（Linux 与 Windows）
- 处置前快照与关键目录备份
- 只读方式挂载镜像与证据盘
- 口令与凭据重置的正确顺序
- 应急小组角色分工与现场纪律
- rkhunter 后门与 rootkit 初筛
- 处置优先级四原则
- busybox 静态工具应急排查
- chkrootkit 常见篡改检查
- 事件复盘报告结构
- 事件通报与升级路径
- 桌面演练（Tabletop）组织要点
- 登录会话与桌面状态记录
- 时间校验与时钟状态记录
- 主机基线信息采集（档案抬头）
- 带外沟通渠道与口令传递
口令与凭据重置的正确顺序
改密的顺序与场所比改密本身更重要：从干净终端操作，先管理入口后业务账号，改完复核登录记录，防止后门回读新口令。
易错点
- 在受控主机本地改密：新口令直接进了攻击者口袋
- 只改 SSH 口令：数据库、面板与 API Key 同样可能泄露
数据来源与参考
- NIST SP 800-61 附录：凭据处置
- CIS 控制措施 v8 账号管理