| 第一步 | 网络隔离（拔线/封端口），阻断横向与回连 |
|---|---|
| 判断 | 看文件 mtime 是否持续更新 |
| 关机取舍 | 加密已完成可关机；加密中或要内存取证需谨慎 |
| 记录 | 每步动作与时间写入处置记录 |
确认加密活动与连接
确认加密活动与连接
date -u; hostname
find /data -xdev -type f -mmin -5 | head -n 20
ps auxwwf --sort=-%cpu | head -n 20
ss -antp | grep ESTAB | head -n 20条件允许时先做内存采集再关机：密钥与未落地进程都在内存里，关机即失。