角色分工解决什么
明确指挥、排查、取证、记录、通报五类角色，规定同一时刻只允许一人操作现场主机，避免多人登录互相踩踏证据。角色不是排场，它界定责任边界，也决定现场秩序。
| 指挥 | 定级、拍板止损与恢复 |
|---|---|
| 操作员 | 唯一执行命令的人，其余人只读 |
| 记录员 | 时间线逐条记录命令与输出 |
| 取证员 | 镜像与样本保全 |
典型使用场景
- 事件规模超出一人处理能力时组队
- 需要同时进行排查、取证与对外通报
- 涉及多个业务系统的联合处置
- 事后复盘需要还原决策与操作过程
- 桌面演练与真实处置共用同一套角色定义
用 script 全程留痕操作会话
用 script 全程留痕操作会话
script -a /var/tmp/ir_session_$(date +%F_%H%M).log
# ……在此会话内执行所有排查命令……
exit # 结束录制，日志自动落盘角色衔接上的易错点
- 指挥与操作员：指挥定级与取舍，不下具体命令
- 操作员与记录员：操作员边做边说，记录员逐条同步
- 取证员与操作员：取证与清理顺序冲突时由指挥裁决
- 记录员与通报：对外口径以记录员整理的时间线为依据
记录模板与决策留痕
记录模板与决策留痕
date -u +%FT%TZ >> /evidence/ir_timeline.log
echo 'operator=zhang cmd="ss -antp" result=ok' >> /evidence/ir_timeline.log
echo "$(date -u +%FT%TZ) DECISION isolate-first; reason=c2-active; operator=li" >> /evidence/ir_timeline.log
tail -n 5 /evidence/ir_timeline.log多人轮流操作而不留痕，会导致无法复盘谁在何时改了什么；现场纪律的核心是同一时刻只有一个操作人。
群聊与电话沟通同样要归档：沟通记录属于事件证据的一部分，复盘与责任界定都要依赖它，关键结论应回到时间线中。
记录员的工作方法
- 命令与输出逐条记录，不做概括转述
- 每条记录都带时间戳与操作人
- 把事实与假设分开标注，避免混为一谈
- 交接时把未完成事项单独列出
分工落地时的现实问题
- 小团队一人多角：可以兼记录与取证，但操作必须由同一人连续完成
- 指挥不在场时要指定代理人，避免临场无人拍板
- 外部厂商参与时先约定谁有操作权，避免双方同时上机
- 跨部门协作时对外口径由指挥统一，其他渠道只提供信息
交接时的必答题
- 上一班次做到哪一步、结论是什么
- 当前还有哪些未验证的假设
- 下一步计划与需要谁批准
- 还有哪些证据尚未固定