决策的两个方向
现场清理还是重装系统，是处置阶段最重要的决策之一。判据包括入侵深度、持久化点数量、是否已取得最高权限与驻留时长；结论要写进事件报告，并写明依据。
两种路线的共同要求
无论选哪种，凭据必须重置、加固必须做、观察期必须留。差别只在于是否保留原有系统与数据：重装解决的是「无法证明清理干净」的问题，代价是重建与迁移成本。
基本信息
| 倾向重装 | 内核级后门、多重持久化、凭据全泄、长期驻留 |
|---|---|
| 可现场清理 | 单点 webshell、未提权、路径清晰 |
| 共同要求 | 无论哪种选择都要换凭据并加固 |
| 留痕要求 | 决策依据与结论写入事件报告 |
| 数据安排 | 重装前确认数据备份与恢复方案 |
| 决策人 | 由指挥角色拍板，避免现场各自为政 |
典型使用场景
- 评估事件后是否就地清理
- 向管理层解释重装的必要性
- 判断清理后是否需要继续观察
- 复盘时说明决策过程与依据
- 为同类事件沉淀判据模板
评估入侵深度
评估入侵深度
last -n 5 # 最近的登录来源与时间
systemctl list-unit-files --state=enabled | wc -l
find /etc /usr/local /opt -newermt '2026-10-01' -type f 2>/dev/null | head -n 20
lsmod | wc -l
cat /proc/sys/kernel/tainted # 非 0 需能解释来源
find / -xdev -newermt '2026-10-01' -type f -name '*.sh' 2>/dev/null | head -n 20判据逐项读法
| 判据 | 含义 | 倾向 |
|---|---|---|
| 持久化项数量 | 启用的单元与近期新增文件统计 | 数量越多越倾向重装 |
| 内核污染标志 | tainted 值 | 非 0 且无法解释时优先重装 |
| 新文件分布 | 近期改动文件的目录分布 | 遍布系统目录说明改动范围大 |
| 登录记录 | 最近登录来源 | 存在未知来源且无法解释时倾向重装 |
重装不是终点：相关系统的凭据要同步重置，否则旧凭据会被继续利用，二次入侵几乎必然发生。
折中方案也存在：保留数据分区、重装系统分区，但前提是能确认数据分区中没有可执行的持久化点，例如被替换的脚本、配置与计划任务定义。
把决策依据留档
把决策依据留档
mkdir -p /evidence/decision
printf '%s\n' '时间：2026-10-13 02:10' 'decision：重装' 'reason：内核模块污染 + 4 处持久化点 + 管理员凭据可能泄露' 'next：重装→重置全部凭据→最小化暴露面→观察 7 天' > /evidence/decision/rebuild_decision.txt
sha256sum /evidence/decision/rebuild_decision.txt决策记录要写清的四件事
- 入侵深度与判断依据
- 可选方案与各自风险
- 最终选择与决策人
- 后续观察期与复验安排