黄金一小时是什么
从发现入侵迹象到完成初步止损的这段时间通常被称为黄金一小时：它决定这次事件的损失上限。核心原则只有六个字——先止损，后取证，再清理。因为清理动作几乎不可逆：删掉木马文件、重启服务、重装系统都会让后续追溯失去素材；而止损动作（隔离、封禁）既能减缓扩散，也基本不破坏现场。这一小时的产出不是「把问题解决」，而是把局势稳住、把现场守住、把下一步计划定下来。
时间安排
| 0 到 10 分钟 | 确认现象真实性、判断级别、决定是否启动响应并通知决策人 |
|---|---|
| 10 到 30 分钟 | 隔离受影响主机、保全易失证据、建立事件台账与独立证据目录 |
| 30 到 60 分钟 | 初判影响范围、核对横向线索、制定处置方案、对外通报口径 |
| 贯穿全程 | 每条动作先记录后执行，统一使用 UTC 时间与固定字段 |
| 产出物 | 事件台账、快照文件、隔离记录、初步影响范围清单、处置方案 |
| 结束时 | 确认无人继续在受害主机上随意操作，明确下一阶段的负责人 |
逐段检查项
- 0 到 10 分钟：核实告警来源与时间点，确认是单点还是多点，先判断级别再决定叫谁
- 0 到 10 分钟：指派唯一的技术负责人，避免多人同时登录同一台主机互相覆盖现场
- 10 到 30 分钟：网络隔离但保留管理通道，同时记录隔离动作与时间
- 10 到 30 分钟：采集易失证据：内存、连接、进程、会话、临时文件，输出落外置介质
- 30 到 60 分钟：用同一 IOC 横向检索其他主机，圈出受影响范围，避免边清边扩散
- 30 到 60 分钟：与业务方确认可以接受的动作边界（能否停服、能否重启），形成处置方案
- 30 到 60 分钟：准备对外口径与上报材料，明确联系人、报送对象与时间点
第一小时最小动作集
第一小时最小动作集
date -u; hostname; who -a; uptime # 1 记录时间基准与在线用户
ss -antp > /evidence/ir_conn.txt 2>&1 # 2 连接快照
ps auxwwf > /evidence/ir_ps.txt 2>&1 # 3 进程链快照
ss -lntup > /evidence/ir_listen.txt 2>&1 # 4 监听面快照
last -aiF > /evidence/ir_last.txt 2>&1 # 5 登录历史
crontab -l > /evidence/ir_cron.txt 2>&1 # 6 定时任务
sha256sum /evidence/*.txt > /evidence/MANIFEST.sha256 # 7 固定完整性
mkdir -p /evidence/logs && tar -zcPpf /evidence/logs/logs_$(date +%F_%H%M).tgz /var/log 2>/dev/null # 8 日志打包时段与产出对照
| 时段 | 主要目标 | 关键动作 | 产出物 |
|---|---|---|---|
| 0-10 分钟 | 确认真实性与级别 | 核实现象、判断级别、指派负责人 | 台账首行：时间、资产、现象、级别 |
| 10-30 分钟 | 止损与保全现场 | 隔离主机、采集易失证据 | 快照文件、隔离记录、哈希清单 |
| 30-60 分钟 | 范围与方案 | 横向检索、确认动作边界、起草通报 | 受影响主机清单、处置方案、通报口径 |
| 60 分钟后 | 清理与恢复 | 按方案清理持久化、复扫验证 | 清理记录、验证结果、复盘材料 |
角色要提前定：一个人负责判断与决策，一个人负责动手采集，一个人负责记录与对外沟通。同一个人的话，记录一定会被牺牲，而事后所有复盘与追责都落在记录上。
第一小时的禁忌动作：未取证先重启、直接重装系统、边排查边删文件、多人在同一台主机上轮流执行命令。这些动作会让证据先丢，后面的所有判断都变成猜测。
清单要提前打印贴在工位或放进值班手册：事件中没人有余力临场设计流程，靠记忆执行的步骤必然漏项。