带外沟通渠道指什么
处置期间要假定内部邮件与即时通讯可能已被监听：攻击者拿到邮箱或 IM 权限后，能同步看到你的处置计划。因此应改用带外渠道（电话、独立临时群、会议桥）沟通，关键口令通过当面或加密信使传递。
基本信息
| 沟通渠道 | 电话、独立临时群、会议桥 |
|---|---|
| 口令传递 | 不通过邮件与工单系统 |
| 记录要求 | 带外结论要回填到统一时间线 |
| 根本原因 | 邮件与 IM 常是攻击者最先读到的资产 |
| 准备工作 | 平时就维护并定期验证带外通讯录 |
| 演练价值 | 检验渠道可用性与响应速度 |
典型使用场景
- 事件初期建立独立沟通渠道
- 传递临时口令或密钥
- 与外部厂商、法务沟通敏感信息
- 演练中测试带外渠道是否可用
- 多团队协同处置时的信息同步
- 结案后把带外沟通结论并入统一时间线
- 复盘「处置计划为何被攻击者预判」时检查沟通方式
带外交接的记录方式
带外交接的记录方式
# 口令经带外语音传达后，只记录「已通过带外渠道交接」这一事实，不记录口令本身
echo "$(date -u +%FT%TZ) credential handover done via phone; operator=li" >> /evidence/ir_timeline.log
# 带外渠道做出的决策同样要回填时间线，否则复盘时缺少决策依据
echo "$(date -u +%FT%TZ) decision: isolate web01 (decided via conference bridge)" >> /evidence/ir_timeline.log渠道与适用场景
| 渠道 | 适用场景 | 注意事项 |
|---|---|---|
| 电话 | 紧急决策与口令交接 | 不产生文字记录，需事后回填 |
| 独立临时群 | 多团队协同 | 成员范围要最小化 |
| 会议桥 | 决策会议 | 记录结论与责任人 |
| 加密信使 | 传文件与截图 | 注意时效并确认接收方 |
| 工单系统 | 常规流程跟踪 | 处置期不放敏感内容 |
平时就要维护带外通讯录并定期验证渠道可用：事件当天再找人、试渠道，时间成本会成倍放大。
永远不要把新口令写进工单、邮件或群聊：这些位置会被搜索、转发并长期留存。