断网还是关机
隔离的目的是切断攻击者的控制与扩散路径，同时尽量不破坏证据。关机看似最彻底，但它会丢掉内存里的进程链、未落地的载荷、C2 配置与凭据，而这些恰恰是判断「还有没有第二台」的关键线索。断网（拔网线、禁用网卡、边界封禁）能达到切断效果并保留完整的内存现场，因此是默认首选。只有在确认有进程正在破坏数据（例如正在加密文件）时，才考虑先挂起进程或断电这类更激进的动作。
隔离方式取舍
| 首选 | 拔网线或禁用网卡：立即切断、保留内存现场、可逆 |
|---|---|
| 次选 | 边界设备封禁：交换机端口 shutdown、ACL、安全组黑洞路由，远程可操作 |
| 保底 | 主机防火墙只放行管理网段：隔离同时保留处置通道 |
| 尽量避免 | 直接关机或断电：内存证据全失，且攻击者无法被继续观察 |
| 例外情形 | 确认存在正在销毁数据的进程时，可先挂起该进程再处置 |
| 记录要求 | 隔离方式、执行时间、执行人、是否保留管理通道，全部写进台账 |
判断与执行要点
- 远程处置优先用防火墙策略：ip link set down 会切断你自己的 SSH 会话
- 主机侧隔离要留管理口：只放行运维网段，便于后续采集与验证
- 云主机优先改安全组而不是关机，既能断流又能保住内存与磁盘现场
- 物理机拔网线最干脆：但要让现场人员拍照记录拔线前的网口指示灯与连线关系
- 隔离范围先求准确：把同网段或同凭据可及的主机一并纳入，避免攻击者换台继续
- 隔离后立刻验证效果：在边界设备上确认没有该主机的出站流量
Linux 立即断网（保留现场）
Linux 立即断网（保留现场）
ip link set eth0 down # 本地可控时最快；远程执行会自断连接
ip link show # 执行前确认网卡名与状态
sudo iptables -I OUTPUT -d 203.0.113.10 -j DROP # 只封 C2，业务不受影响
sudo iptables -A INPUT -p tcp --dport 22 -s 10.0.0.0/8 -j ACCEPT # 保留管理网段入口
sudo iptables-save > /evidence/iptables_$(date +%F_%H%M).rules # 规则变更前先导出快照
sudo nft list ruleset > /evidence/nft_$(date +%F_%H%M).txt # nftables 环境同理Windows 禁用网卡与封禁出站
Windows 禁用网卡与封禁出站
Get-NetAdapter | Where-Object Status -eq 'Up' | Format-Table Name,InterfaceDescription,LinkSpeed # 先确认网卡
Disable-NetAdapter -Name 'Ethernet0' -Confirm:$false # 断网，保留内存现场
New-NetFirewallRule -DisplayName 'IR-Block-C2' -Direction Outbound -RemoteAddress 203.0.113.10 -Action Block # 定向封禁
New-NetFirewallRule -DisplayName 'IR-Allow-Mgmt' -Direction Inbound -LocalPort 3389 -RemoteAddress 10.0.0.0/8 -Action Allow # 保留管理通道方式对比
| 方式 | 效果 | 代价 | 适用场景 |
|---|---|---|---|
| 拔网线或禁用网卡 | 立即切断全部网络 | 远程会话中断，需现场配合 | 本地可控、需要彻底隔离 |
| 主机防火墙封禁 | 可精细到地址与端口 | 配置错误可能切断管理通道 | 远程处置、想保留处置通道 |
| 交换机端口 shutdown | 物理层切断，主机无感知 | 需网络侧权限与现场核对端口 | 需要第三方设备层隔离 |
| 边界 ACL 或安全组 | 阻断出站与横向 | 改配置有影响其他业务的风险 | 云主机与集中边界管控 |
| 直接关机断电 | 彻底停止活动 | 内存证据清零 | 仅在确认正在破坏数据时 |
ip link set down 与 Disable-NetAdapter 都会切断你当前的远程会话：远程操作时改用防火墙策略，或者先把带外管理通道（IPMI、云控制台、堡垒机）准备好再动手。
隔离不是终点：隔离后要立刻记录当前连接与进程状态，因为攻击者一旦发现失联，往往会在几秒内尝试清理痕迹。隔离前如果能顺手做一次快照，收益非常大。