事件响应剧本
一份面向行动的应急响应剧本，涵盖准备、检测、遏制、根除、恢复与经验教训。
快速解答
按照 NIST 循环响应安全事件——准备、检测与分析、遏制、根除、恢复、事后总结——在任何行动之前先保全证据，并保留按时间顺序的记录。
定义
一套结构化、可执行的程序，用于准备、检测、遏制、根除、恢复安全事件并在事后总结经验，与 NIST 应急响应生命周期保持一致。
场景
任何疑似安全事件：未授权访问、恶意软件、账户失陷、数据外泄或勒索软件。本剧本是总纲程序；具体细节请应用专题剧本（钓鱼、恶意 URL、Log4Shell）。
目标
检测并分析事件，遏制以防止扩散与数据丢失，根除原因，恢复经验证的业务运行，并将经验教训反馈到预防中。在每一步都保全证据。
前置条件
- 预定义角色（事件指挥官、分析人员、沟通、法务/公关）与值班名单。
- 事先测试过的备份、恢复与紧急开关（kill-switch）运行手册。
- 经授权的工具：哈希
guides:tool-hash-guide、IOC 查询guides:tool-ioc-guide、CVE 分流guides:tool-cve-guide。
证据收集
- 顺序：先易失性数据（内存、连接、已登录用户），再磁盘，再网络/云，最后日志。
- 记录每个工件（artifact）的 SHA-256；维护一份只写一次、按时间顺序的证据日志。
- 记录分析人员的每个操作并附时间戳；在捕获之前不得修改证据。
指标
- 已知恶意哈希、域名、IP、邮件指标（IOC 查询）；异常认证模式；对照
security:what-is-an-ioc的 FTS/工具命中。
验证
- 确认告警是真实事件而非误报：在宣布之前关联 ≥2 条证据流（例如：网络 + 端点 + 认证日志）。
调查
- 重建杀伤链（kill chain）：初始访问 → 执行 → 持久化 → 数据移动。参见
security:threat-detection并遵循专题剧本。
决策
- 宣布遏制范围与负责人。若为 P0（波及面/严重性高），立即上报事件指挥官。
遏制
- 隔离受影响主机/账户（禁用凭据、隔离网络），先保全证据，再实施短期阻断（例如：在
security:network-security中阻断 C2 域名/IP）。
缓解
- 移除持久化工件，修补被利用的漏洞（见
guides:tool-cve-guide/guides:cve-patch-triage-checklist），并轮换暴露的凭据。
恢复
- 从经验证的干净备份中恢复，校验完整性（哈希），确认后门访问已移除，然后在加强监控下将系统恢复运行。
参考资料
- NIST SP 800-61 · CISA Incident Handling 资源，如上所列。