遏制方式的选择与副作用
遏制手段从软到硬有多种，副作用与不可逆性逐级上升：域名或地址阻断只切断已知目标，账号禁用影响具体使用者，主机隔离则切断该主机的全部通信，还可能一并切断远程取证通道。选择时要先问清楚要达成什么目标、能承受什么代价，再决定动作的力度。
基本信息
| 软性手段 | 域名阻断、目标地址封禁、检测规则上线 |
|---|---|
| 中间手段 | 账号禁用、口令重置、会话强制下线 |
| 硬性手段 | 主机网络隔离、网段隔离、关机断网 |
| 共同要求 | 每个动作都写恢复方案与审批记录，并预留带外管理 |
| 顺序权衡 | 先取证后遏制，或同时进行并接受一定的取证损失 |
典型使用场景
- 外联目标已确认时，先在边界阻断对应域名或地址
- 账号被盗用时立即禁用账号并重置相关凭据
- 主机失陷范围明确时隔离主机，同时保留带外通道
- 处置窗口紧张时优先做可逆动作，硬隔离留待升级决策
- 结案后按恢复方案逐项撤销临时阻断面
动作记录
动作记录
action: block domain updates.example.invalid
scope: 边界防火墙（华东出口）
revert_plan: 结案后按变更单恢复
side_effect: 监控项 M-102 暂时失效
approver: 值班负责人 time: 2026-01-02 14:20Z手段对照
| 手段 | 作用 | 副作用 |
|---|---|---|
| 域名或地址阻断 | 切断已确认的外联目标 | 可能影响共用域名或共享出口的业务 |
| 账号禁用 | 切断账号被滥用的途径 | 影响账号持有者的正常工作 |
| 主机隔离 | 切断该主机全部通信 | 业务中断，远程取证通道同时中断 |
| 网段隔离 | 限制横向扩散范围 | 影响面大，容易波及正常业务 |
隔离动作之前先确认带外管理通道可用：主机一旦与网络断开，原有的远程登录方式也随之失效，后续的取证与清理只能依赖带外管理或现场操作。
每个遏制动作都要写清恢复方案与批准人。临时阻断长期挂着容易被遗忘，结案后误伤持续存在，复盘时也说不清当时为什么加了这条规则。