| 指挥 | 定级、拍板止损与恢复 |
|---|---|
| 操作员 | 唯一执行命令的人，其余人只读 |
| 记录员 | 时间线逐条记录命令与输出 |
| 取证员 | 镜像与样本保全 |
用 script 全程留痕操作会话
用 script 全程留痕操作会话
script -a /var/tmp/ir_session_$(date +%F_%H%M).log
# ……在此会话内执行所有排查命令……
exit # 结束录制，日志自动落盘多人轮流操作而不留痕，会导致无法复盘谁在何时改了什么。
本包目录（168 条）
应急流程与准备24 条
- 安全事件分级与响应等级判定
- 黄金一小时处置清单
- 易失性数据采集顺序
- 断网还是关机：隔离方式取舍
- 在线排查三条主线：连接、进程、持久化
- 事件时间线记录方法
- 网络层隔离与定向封禁
- 影响范围与横向扩散初判
- 应急响应工具箱（Linux 与 Windows）
- 处置前快照与关键目录备份
- 只读方式挂载镜像与证据盘
- 口令与凭据重置的正确顺序
- 应急小组角色分工与现场纪律
- rkhunter 后门与 rootkit 初筛
- 处置优先级四原则
- busybox 静态工具应急排查
- chkrootkit 常见篡改检查
- 事件复盘报告结构
- 事件通报与升级路径
- 桌面演练（Tabletop）组织要点
- 登录会话与桌面状态记录
- 时间校验与时钟状态记录
- 主机基线信息采集（档案抬头）
- 带外沟通渠道与口令传递
应急小组角色分工与现场纪律
明确指挥、排查、取证、记录、通报五类角色，规定同一时刻只允许一人操作现场主机，避免多人登录互相踩踏证据。
易错点
- 没有唯一操作人：两个人同时上机，命令互相干扰
- 记录员事后补记：时间点靠回忆，顺序混乱
数据来源与参考
- NIST SP 800-61 Rev.2 附录：事件响应团队
- SANS 事件处置现场规范