收尾报告是什么
收尾报告是事件闭环的凭证：把时间线、根因、影响、处置动作、遗留风险与改进项写清楚并归档，处置才算真正结束。没有复盘的处置，下一次事件会把同样的弯路再走一遍。报告通常准备两个版本——管理层看摘要与决策点，技术团队看根因与处置细节。
基本信息
| 结构 | 概述、时间线、根因、影响、处置动作、改进项 |
|---|---|
| 证据引用 | 每条结论对应证据清单编号与哈希 |
| 改进项 | 责任人与期限，可跟踪可验收 |
| 归档 | 报告与证据一并归档，按合规要求确定保管期 |
| 读者分层 | 管理层摘要 + 技术复盘细节两版 |
| 两个关键数 | 检测时延（入侵到发现）与响应时延（发现到处置） |
典型使用场景
- 事件处置结束后向管理层交付结论
- 向监管或保险渠道提交材料时作为附件
- 复盘会上的讨论底稿与结论记录
- 沉淀检测与响应时延数据，用于改进告警规则与预案
- 为同类事件提供可复用的处置参照
- 合规审计时作为事件管理的证明材料
归档报告并登记
归档报告并登记
ls -la /evidence/CASE-2026-1012/ # 案件目录内容清单
grep -c '' /evidence/timeline.csv # 时间线条目数
head -n 5 /evidence/timeline.csv # 抽看时间线开头几行
tail -n 5 /evidence/timeline.csv # 抽看时间线结尾几行
sha256sum /evidence/CASE-2026-1012/report.md | tee /evidence/CASE-2026-1012/report.sha256 # 固定最终版本章节与验收标准
| 章节 | 内容要点 | 验收标准 |
|---|---|---|
| 概述 | 一句话说明事件与当前状态 | 非技术读者也能看懂 |
| 时间线 | 含检测时延与响应时延 | 每行带时间与证据编号 |
| 根因 | 攻击链与初始入口 | 能回答「为什么发生」 |
| 影响 | 主机、数据与业务损失口径 | 与业务方确认过口径 |
| 改进项 | 每条带责任人与截止日 | 可跟踪、可验收 |
检测时延与响应时延是复盘里最该量化的两个数：前者决定告警能力要不要补，后者反映预案与授权是否到位。
报告对证据的引用要写编号与哈希，让读者能回到原始材料核对，而不是只能相信结论。
对外版本要经法务与合规确认：内部地址、账号与漏洞细节不宜出现在对外材料中，披露范围按最小必要原则。