隔离时机的把握是什么
是否立即断网，是扩散风险与证据保全之间的权衡：存在持续外联、横向尝试或数据外传迹象的，优先隔离止损；当前主要目标是取证的，先完成易失数据采集再隔离。无论选哪种，决策时间、依据、隔离方式与影响面都必须落到书面记录。
基本信息
| 用途 | 约束隔离动作的取舍与留痕 |
|---|---|
| 决策点 | 扩散风险 vs 证据保全 |
| 隔离方式 | ACL 限制、断网、整机下线（影响面依次增大） |
| 记录字段 | 时间、动作、依据、执行人、影响面 |
典型使用场景
- 主机正在持续外联命令控制服务器，需要立即切断联系
- 发现跳板机疑点，先阻断其内网访问
- 目标主机承载核心业务，隔离前需与业务方确认影响
- 需要向管理层解释「为什么没有第一时间断网」
- 选择隔离方式：断网会丢远程访问，需评估是否保留带外管理通道
隔离决策记录模板
隔离决策记录模板
时间: 2026-10-12 03:40
动作: 对 web-1 做网络隔离（ACL 仅放行堡垒机）
依据: 检测到持续外联 + 对 10.0.3.0/24 的横向尝试
前置: 03:35-03:38 已完成易失数据采集
影响面: 该主机对外 HTTPS 服务暂停，已通知业务值班
# 记录保留在事件档案里，复盘与评审时作为依据隔离方式对照
| 方式 | 止损效果 | 代价 |
|---|---|---|
| ACL 限制出站 | 阻断外联，保留管理通道 | 需防火墙权限，规则要复核防漏放 |
| 断开网络连接 | 立即止损 | 丢失远程排障能力，可能触发对手清理 |
| 整机下线 | 最彻底 | 业务中断，内存与连接证据随断电丢失 |
隔离前若时间允许，优先抓取内存与当前连接。对手通常能感知网络中断，断网后可能立即触发清理动作。
停机或下线属于管理决策。技术侧负责给出依据、耗时与影响面评估，不要单方面执行，避免影响面失控。