| 0-10 分钟 | 确认现象、拍板是否启动响应 |
|---|---|
| 10-30 分钟 | 隔离、保全易失证据 |
| 30-60 分钟 | 范围初判、通报、定处置方案 |
| 核心原则 | 先止损后取证再清理 |
第一小时最小动作集
第一小时最小动作集
# 1) 记录时间与在线状态
date -u; uptime; who -a
# 2) 连接与进程快照（保存到独立介质）
ss -antp > /tmp/ir_conn.txt 2>&1
ps auxwwf > /tmp/ir_ps.txt 2>&1
# 3) 关键日志留存
tar -zcPpf /evidence/logs_$(date +%F_%H%M).tgz /var/log 2>/dev/null- 推荐：断网隔离、记录、备份日志与关键目录
- 禁忌：未取证先重启、直接重装、边清边删
清单要提前打印贴在工位：事件中没人有时间临场设计流程。