威胁检测与响应清单
一份可执行的清单，用于检测、分流并响应安全事件——事前、事中与事后。
快速解答
将检测与响应当作清单来运行：事前——定义触发条件与分流标准并预置工具；事中——仅在保全证据后遏制并记录每个操作；事后——验证清除、恢复监控并总结教训。
定义
一份可直接执行的清单，将应急响应生命周期转化为离散、可验证的检测与响应行动。
事前（准备）
- 定义告警触发条件与分流标准（按来源统计误报率）。
- 预置工具与访问权限：哈希、IOC 查询、DNS 查询、CVE 查询。
- 维护经过测试的应急响应剧本与值班名册。
事中（检测与分流）
- 在任何行动之前，保全易失性证据（内存/连接/会话）并对工件做哈希。
- 关联 ≥2 条证据流，确认告警为真实事件。
- 对照威胁情报验证指标（IOC 查询）——不要仅凭单一信号就阻断/信任。
- 记录分析人员的每个操作并附时间戳（按时间顺序的记录）。
事中（响应）
- 仅在证据捕获后遏制：断开/隔离主机、禁用账户/凭据。
- 在网络边界阻断已确认的 C2 域名/IP。
- 修补被利用的弱点；从干净的系统轮换暴露的机密。
事后（验证与恢复）
- 重新扫描并重新哈希，确认持久化/后门已移除。
- 从干净备份恢复；校验完整性；以更高等级恢复监控。
- 仅在重新验证与全信任重建（full-trust rebuild）后宣布解除警报。
验证与升级
- 在未来 72 小时内验证无再次感染/传播。
- 若涉及受监管数据或 P0 波及面，上报事件指挥官 / 法务 / 公关。
完整程序参见 guides:incident-response-playbook。