| 框架 | P1-P4 四级（可按组织裁剪） |
|---|---|
| 典型边界 | 核心业务中断 / 大规模数据外泄 = P1 |
| 决策人 | 应急总指挥或 CSIRT 负责人 |
| 启动时限 | P1 约 15 分钟内启动、P2 约 1 小时内 |
分级参考表
| 级别 | 典型场景 | 响应要求 |
|---|---|---|
| P1 | 核心系统被加密、大规模数据外泄 | 立即最高优先级，同步管理层 |
| P2 | 单台主机确认被控、Webshell 落地 | 1 小时内响应，按需隔离 |
| P3 | 扫描探测、暴力破解未得手 | 当日处置并留档 |
| P4 | 误报、策略违规 | 工单跟踪，不做现场处置 |
定级四要素快记
定级四要素快记
date -u '+%F %T UTC' # 统一 UTC 时间
hostname; uname -a
cat /etc/os-release | head -n 3
# 台账字段：时间/资产/现象/影响/级别/处置人定级宁高勿低但不能滥用：把批量扫描全部按 P1 处理，会挤占真实 P1 的资源。