清除后复扫与观察期
清除完成后要进入观察期：复扫文件、监控复发迹象、对照持久化清单逐项复查，确认事件可以关闭了再宣布结束。常见做法是每天记录一次基线（进程、连接、关键目录哈希），出现变化立即复查。
基本信息
| 复扫 | 杀软或 ClamAV 全量扫描 |
|---|---|
| 监控 | 外连异常、进程复活、文件再生成 |
| 对照 | 持久化清单逐项复查 |
| 时长 | 按风险定，通常 24-72 小时 |
| 记录 | 每日基线快照（进程、连接、关键目录哈希） |
| 关闭条件 | 无复发迹象且清单全部核对完成 |
典型使用场景
- 清除完成后判断何时可以恢复常态运维
- 观察期内每天核对是否存在复发
- 关闭事件前做最后一次全面复核
- 排查「清了又回来」的顽固样本
- 与其他同类主机同步复扫并比对
- 归档观察期记录作为结案依据
- 演练中练习观察期流程
复扫与复发迹象检查
复扫与复发迹象检查
clamscan -r -i /var/www /tmp 2>/dev/null | tail -n 10 # 文件复扫
ss -antp | grep ESTAB | head -n 20 # 外连检查
systemctl list-timers --all --no-pager | head -n 20 # 定时器是否新增
ps -eo pid,ppid,user,lstart,cmd --sort=start_time | tail -n 20 # 按启动时间看新进程
sha256sum /etc/cron.d/* /etc/systemd/system/*.service 2>/dev/null | head -n 20 # 关键目录基线观察项与复发信号
| 观察项 | 方法 | 复发信号 |
|---|---|---|
| 文件复扫 | 杀软扫描目标目录 | 同一路径再次命中 |
| 网络外连 | ss 查看已建立连接 | 出现此前封禁的地址 |
| 进程复活 | 进程按启动时间排序 | 出现新的同名异常进程 |
| 定时任务 | systemctl list-timers | 新增未知定时器 |
| 文件再生成 | 关键目录哈希比对 | 哈希与基线不一致 |
观察期每天记录一次基线（进程、连接、关键目录哈希），出现变化立即复查：这比事后凭印象回忆可靠得多。
清除完成不等于风险归零：没有观察期就直接宣布结束，复发往往在几周之后才被发现。
观察期的基线要落到文件里并固定哈希：每天生成的快照是判断「有没有变化」的唯一依据，只靠人工记忆很容易漏掉细微改动。