为什么要排序
资源有限时必须排序：止损优先于追凶、取证优先于清理、恢复优先于完美、复盘优先于收工。这些原则的实际作用是决定「下一步做什么」，而不是写在报告里的口号。
排序不是教条
勒索软件正在加密时，断开网络比任何取证动作都优先；判断依据是风险敞口是否仍在扩大。原则提供默认答案，现场事实提供例外条件。
| 原则 1 | 先止损：隔离、封禁、断凭据 |
|---|---|
| 原则 2 | 先取证：快照、内存、日志 |
| 原则 3 | 恢复顺序：先修门再进人 |
| 原则 4 | 复盘：改进项落到人与日期 |
| 判断方法 | 看风险敞口是否仍在扩大 |
| 记录要求 | 决策内容与理由同样写入时间线 |
典型使用场景
- 多台主机同时受害时决定处置顺序
- 人力与时间不足时做取舍
- 向上汇报时解释取舍依据
- 桌面演练中作为判断标准
- 复盘时评估当时的决策是否合理
把决策写进时间线
把决策写进时间线
echo "$(date -u +%FT%TZ) DECISION pause-clean; reason=fields-not-fixed; operator=zhang" >> /evidence/ir_timeline.log
echo "$(date -u +%FT%TZ) DECISION isolate-first; reason=ransom-active; operator=li" >> /evidence/ir_timeline.log
tail -n 5 /evidence/ir_timeline.log四原则与反例
| 原则 | 含义 | 典型反例 |
|---|---|---|
| 先止损 | 隔离、封禁、切断可疑凭据 | 边取证边放任加密继续进行 |
| 先取证 | 快照、内存、日志优先固定 | 先清理再想留证据，材料已消失 |
| 先修门 | 加固与补丁先于业务恢复 | 恢复业务但入口仍保持开放 |
| 要复盘 | 改进项落到责任人与日期 | 报告写完无人跟进，问题重复出现 |
优先级不是教条：按现场事实调整并说明理由，比机械执行原则更重要；调整过程本身也要记录在时间线上。
追求完美取证而拖延隔离会放大损失：勒索加密以分钟计，确定性收益应当优先于证据完整性。
决策记录模板
- 时间点（统一使用 UTC 并注明本地时区）
- 决策内容与所基于的事实
- 可选项与放弃原因
- 决策人与复核时间