复盘报告的结构
复盘报告的标准骨架是时间线、根因、影响、处置动作与改进项，并附对外沟通口径和附件清单。它与收尾报告的侧重不同：收尾报告面向结案归档，复盘报告重在找出流程与判断上的缺口，所以要写到「谁在什么时限内本该做什么却没做」这个层面。
基本信息
| 第 1 节 | 时间线，必须含检测与响应时延 |
|---|---|
| 第 2 节 | 根因与攻击链 |
| 第 3 节 | 影响与损失口径 |
| 第 4 节 | 改进项，每条带责任人与日期 |
| 附件 | 证据清单、告警记录、沟通记录 |
| 配套材料 | 对外沟通口径与话术 |
典型使用场景
- 事件结束后组织复盘会，提前把材料发给与会者
- 沉淀可复用的检测规则与响应动作
- 向上汇报「为什么没能更早发现」
- 演练结束后与桌面演练结论合并成改进清单
- 满足合规与审计要求的年度事件回顾
- 给新同事做案例教学材料
写报告前的数据核对
写报告前的数据核对
head -n 5 /evidence/timeline.csv | cut -d, -f1 # 时间线起点
tail -n 5 /evidence/timeline.csv | cut -d, -f1 # 时间线终点
grep -c '改进项' /evidence/CASE-2026-1012/report.md # 改进项条数粗查
grep -n '检测时延\|响应时延' /evidence/CASE-2026-1012/report.md # 两个关键数是否写了
sha256sum /evidence/CASE-2026-1012/report.md # 定稿后固定版本章节自检
| 章节 | 要回答的问题 | 常见缺陷 |
|---|---|---|
| 时间线 | 什么时候发生了什么 | 缺检测时延与响应时延 |
| 根因 | 攻击是从哪里进来的 | 只写现象不写入口 |
| 影响 | 损失到底有多大 | 只有文件数没有业务口径 |
| 处置 | 做了哪些动作 | 缺对动作有效性的评价 |
| 改进 | 下次怎么避免 | 缺责任人与验收方式 |
改进项要写成可验收的句式：把「加强安全意识培训」换成「某日前为全部运维账号启用密钥登录，某人负责，完成后抽查十台主机验证」。
复盘要区分技术责任与流程缺口：只追个人责任会让后续事件的信息被隐藏，流程上的问题反而更晚暴露。