固定顺序避免跳步
从收到告警到产出溯源结论，中间要经过验证、圈范围、定时间线、找入口与扩散、固证与报告几个环节。跳步最常见的形式是「还没确认告警真假就开始大范围处置」，或者「先清理后取证」。把顺序固定下来，每一步都有明确的产出物，后续复盘与报告才能顺着同一条链条走，不会出现证据缺口。
基本信息
| 用途 | 建立固定的溯源作业顺序，避免跳步与返工 |
|---|---|
| 顺序 | 验证告警 → 圈定范围 → 建时间线 → 找入口 → 查扩散 → 固证与报告 |
| 每步产出 | 验证结论、范围清单、时间线表、入口判定、扩散图、证据与报告 |
| 适用场景 | 主机入侵、账号泄露、Web 攻击、横向移动等事件的初筛与深挖 |
| 并行原则 | 易失性数据采集与验证可并行，但处置动作必须排在固证之后 |
| 记录要求 | 每步的输入、结论与依据都要落纸，供他人复核 |
六个环节各自要回答什么
- 验证：告警是真事件还是误报，原始证据在哪一条日志上
- 圈范围：涉及哪些资产、哪个时间段、哪些账号，范围会随证据修正
- 建时间线：多源事件按统一基准排序，找出先后关系
- 找入口：初始访问点是什么，是否仍有可利用的暴露面
- 查扩散：是否横向移动、是否有持久化与账号新增
- 固证与报告：把结论挂上证据编号，说明局限与置信度
作业顺序
作业顺序
1) 验证告警：回到原始日志或样本，确认非误报，记录证据位置
2) 圈定范围：列受影响主机、账号、时间段（三张清单）
3) 建时间线：多源时间换算到统一基准后排序
4) 定入口与扩散：初始访问点 + 横向路径 + 持久化落点
5) 先固证后处置：采集易失数据、镜像与日志副本，再考虑清理
6) 出报告：发现逐条挂证据编号，标注推断与置信度环节与产出对照
| 环节 | 关键动作 | 产出物 |
|---|---|---|
| 验证 | 回查原始日志、样本与告警上下文 | 真伪结论与证据出处 |
| 圈范围 | 按资产/时间/账号三问收敛 | 范围清单（含修正记录） |
| 时间线 | 统一时区与偏移后排序 | 带证据出处的排序表 |
| 入口与扩散 | 暴露面清单与横向通道痕迹 | 入口判定与扩散图 |
| 固证 | 易失数据、镜像、日志副本与哈希 | 证据清单与校验值 |
| 报告 | 事实与推断分离表述 | 结论、局限与附录 |
处置动作必须排在固证之后。删木马、杀进程、重启主机之前先采样与留存副本，否则证据随清理动作一并消失，后续既无法复盘也难以对外说明。
几个环境里第一优先的采集对象通常是一样的：易失的内存与连接、日志副本、可疑文件与计划任务。先做这几项，能把后续步骤的空间留出来。
顺序固定不代表单向推进：验证阶段发现范围比预期大，就要回到第二步修正范围；时间线新增锚点后，入口判定也可能要重新评估。每次回退都在记录里说明原因。