| 原则 1 | 先止损：隔离、封禁、断凭据 |
|---|---|
| 原则 2 | 先取证：快照、内存、日志 |
| 原则 3 | 恢复顺序：先修门再进人 |
| 原则 4 | 复盘：改进项落到人与日期 |
把决策也写进时间线（只记操作是不够的）
把决策也写进时间线（只记操作是不够的）
echo "$(date -u +%FT%TZ) DECISION pause-clean; reason=fields-not-fixed; operator=zhang" >> /evidence/ir_timeline.log优先级不是教条：勒索正在加密时，先断开比任何取证动作都优先。