企业网络安全应急响应流程实战指南

# 企业网络安全应急响应流程实战指南 > 安全事件发生时，慌乱是最危险的。本文把应急响应拆成标准流程，让团队按步骤走，减少二次损失。 ## 一、事件分级 - **P1 严重**：核心系统沦陷、数据泄露，需立即响应、全员联动 - **P2 较严重**：单点入侵、恶意软件，需 2 小时内响应 - **P3 一般**：可疑行为、弱口令，需 24 小时内处理 ## 二、应急启动 1. 确认事件：核实告警是否真实 2. 上报：通知安全负责人和管理层 3. 组建应急小组：安全、运维、业务 4. 明确职责：谁排查、谁沟通、谁处置 ## 三、现场保护与取证 > ⚠️ 原则：先保护现场，再处置，避免破坏证据。 - 隔离受感染主机（断网，但不关机，保留内存证据） - 保存系统快照、内存 dump - 备份关键日志（安全日志、应用日志、流量日志） - 记录时间线，所有操作留痕 ## 四、入侵排查 ### 1. 账户排查 ```bash # Linux：查看异常账户和登录记录 cat /etc/passwd last -f /var/log/wtmp lastb # Windows：查看本地账户和登录事件 net user wevtutil qe Security /c:20 /rd:true ``` ### 2. 进程排查 ```bash # Linux：查看异常进程和网络连接 ps aux --sort=-%cpu | head netstat -antlp # Windows tasklist /svc netstat -ano ``` ### 3. 启动项排查 ```bash # Linux cat /etc/rc.local ls /etc/cron* crontab -l # Windows msconfig reg query HKLM\Software\Microsoft\Windows\CurrentVersion\Run ``` ### 4. 日志分析 ```bash # Linux：安全日志 grep -i "failed password" /var/log/auth.log # Web 日志：找攻击特征 grep -E "select|union|eval" /var/log/nginx/access.log ``` ## 五、处置与恢复 - 清除恶意进程、文件、后门 - 修改被泄露的账号密码 - 修复漏洞（打补丁、改配置） - 恢复业务（从干净备份恢复） - 持续监控，防止复发 ## 六、复盘改进 - 输出事件报告：时间线、根因、影响、处置 - 沉淀到知识库，更新防护策略 - 修复暴露的管理短板 - 组织演练，验证响应能力 应急响应的核心是"快、准、全"：快速响应、准确定位、全面处置，最后复盘闭环。