安全事件处置
概览
被入侵、被爆破、被挂马的第一小时做什么。
| 项 | 说明 |
|---|---|
| 第一步 | 隔离（别急着重装） |
| 第二步 | 取证（日志、进程、网络连接） |
| 第三步 | 止损（改密码、封 IP、下线入口） |
| 第四步 | 复盘与加固 |
操作步骤
- 先做快照保留现场
- 导出 auth.log 与进程列表
- 改所有相关口令与密钥
- 排查持久化（crontab / systemd / 启动项）
- 再重装
使用限制
- 直接重装会丢掉取证线索
注意事项
- 重装前一定导出日志，否则说不清怎么进来的
被入侵、被爆破、被挂马的第一小时做什么。
| 项 | 说明 |
|---|---|
| 第一步 | 隔离（别急着重装） |
| 第二步 | 取证（日志、进程、网络连接） |
| 第三步 | 止损（改密码、封 IP、下线入口） |
| 第四步 | 复盘与加固 |