| 手段 | iptables/nftables 出站限制、ACL 收窄 |
|---|---|
| 禁忌 | 直接关机断电、贸然杀进程 |
隔离示例
隔离示例
iptables -I OUTPUT -m owner --uid-owner 33 -j DROP
ss -tunap | head -20任何隔离动作都要记录时间、原因与执行人，纳入事件处置记录。
现场处置与隔离的取舍
隔离的目标是阻断外联而不是销毁证据：优先用防火墙限制出站到必要范围，避免直接断网断电导致内存与连接状态丢失。
易错点
- 先采集易失性数据再隔离，顺序颠倒会丢失连接与进程状态
- 忘记为管理通道放行会把运维人员一起挡在门外
数据来源与参考
- NIST SP 800-61（事件处置指南）