| 时长 | 2-3 小时，含复盘 |
|---|---|
| 参与 | 安全、运维、业务、管理层各 1-2 人 |
| 形式 | 推演剧本、逐决策点讨论 |
| 产出 | 流程缺口清单与改进项 |
演练记录模板（按决策点留档）
演练记录模板（按决策点留档）
场景：核心数据库服务器被勒索加密
决策点 1 谁有权拍板隔离？ -> 结论：
决策点 2 是否通知业务方？时限？ -> 结论：
决策点 3 赎金议题谁发言？ -> 结论：
改进项：______ 负责人：______ 截止：______演练目标不是答对，而是发现谁不知道、什么资料查不到。
本包目录（168 条）
应急流程与准备24 条
- 安全事件分级与响应等级判定
- 黄金一小时处置清单
- 易失性数据采集顺序
- 断网还是关机：隔离方式取舍
- 在线排查三条主线：连接、进程、持久化
- 事件时间线记录方法
- 网络层隔离与定向封禁
- 影响范围与横向扩散初判
- 应急响应工具箱（Linux 与 Windows）
- 处置前快照与关键目录备份
- 只读方式挂载镜像与证据盘
- 口令与凭据重置的正确顺序
- 应急小组角色分工与现场纪律
- rkhunter 后门与 rootkit 初筛
- 处置优先级四原则
- busybox 静态工具应急排查
- chkrootkit 常见篡改检查
- 事件复盘报告结构
- 事件通报与升级路径
- 桌面演练（Tabletop）组织要点
- 登录会话与桌面状态记录
- 时间校验与时钟状态记录
- 主机基线信息采集（档案抬头）
- 带外沟通渠道与口令传递
桌面演练（Tabletop）组织要点
不发生真实事件的低成本练兵：用剧本加决策点表组织两小时演练，暴露流程与通讯录的洞，而不是考技术。
易错点
- 把演练开成技术培训：管理层缺席，决策链漏洞没人发现
- 演练后无改进项闭环：问题记录完就进抽屉
数据来源与参考
- CISA Tabletop Exercise Packages (CTEP)