应急顺序（示例）
应急顺序（示例）
T+0 关联资产清单：哪些公网可达、是否有利用迹象（日志排查）
T+1h 缓解：WAF 规则/网络隔离/临时关闭受影响功能
T+4h 评估官方补丁或升级方案，准备测试与回滚
T+24h 分批修复核心暴露面，验证后扩大
T+72h 完成剩余资产修复或补偿控制，输出复盘| 迹象排查 | 访问日志、进程、计划任务、账号变更等异常核对 |
|---|---|
| 信息纪律 | 漏洞细节按密级管理，不对外传播利用方法 |
| 复盘 | 更新台账、预案与检测规则 |
应急阶段最容易出错的是顺序：先封堵再修，比一边暴露一边研究补丁安全得多。