系统被入侵后的第一个小时，一定要记住这几件事

发现系统入侵后的第一个小时，通常是最乱的一个小时，消息刚传开，电话开始响，所有人都在问同一个问题，却没人敢确定事情到底有多严重，偏偏是在这种时候，做出的几个动作会决定后面几天的走向，顺序错了，麻烦越大。

第一，别急着断网，别急着删文件，也别急着重装。很多人的第一反应是立刻断网、把可疑的文件删掉、重装系统，觉得清干净了就没事。但证据一旦没了，后面所有判断都只能靠猜，对方是怎么进来的、动过哪些东西，答案全在现场里，重装等于把这些答案抹掉，再带着同样的漏洞上线。正确的做法是先隔离，把受影响的机器从网络里摘出去，保持运行状态和磁盘内容不动，该做的记录先做。摘哪一台不是凭感觉，要看异常出现之前谁登录过、从哪个地址、用的哪个账号，谁在记录里出现过，谁就先进隔离范围。一句话就能记住，先摘线，不删东西，不关机。

第二，先找到入口，没有堵住入口的所有清理都是白做。可疑的登录记录、异常的时间戳、多出来的账号、改过的配置，拼在一起能画出一条时间线，要找的不是谁干的，而是从哪进来的。入口没堵上，在内部做的清理都是白费，很多团队清理完以为结束了，几小时后又被同样的方式进来一次，原因就在这里。一个人排查容易漏，几个人交叉着看一遍，往往能发现单个人看不到的东西。

第三，要一并划清范围，别只盯着出事的那一台。一台机器上的凭证，常常能通向同一网段里的其他机器，甚至通向备份、通向数据库，凡和出事那台共用过账号、共用过密钥的，都要放进同一批处理里，分两轮做没有意义，第一轮查出来的入口，很可能就指向后面才发现的另一台机器。

第四，把改的动作一次做完，而且从外往里改。先把对外暴露的入口收紧，包括登录方式、访问权限、对外服务的配置，这个顺序不能反，只要外面的口子还开着，里面改得再干净，对方随时可以再进来一次。还有一个常被忽略的细节，把可能被盗用过的凭证全部作废重建，凡落进上面那个范围的，全部重来一遍，只改一半的后果是，看着像是堵上了，实际上对方手里还攥着一把能用的钥匙。连起来看，这四件事是一条顺序，先保住现场，再找到入口，再划清范围，最后一次性把口子收紧。

做这件事之前，范围、授权、执行、报告四件事要提前说清楚，哪些能试、哪些不能碰，谁批准、出了问题谁负责，都要有据可查，这也是七星安为科技有限公司这样的团队遇到危机时最先确认的几件事。做完之后怎么用好结果，反而比做本身更影响价值，如果只盯着发现了多少个问题，报告很快会被归档，真正有用的是看它的指向，是同一类问题在反复出现，还是都集中在长期没人管的角落。

很多团队出问题的时候，现场没有一个人说得清究竟是从什么时候开始不对的，原因也在这里。七星安为科技有限公司这类公司平时做的正是后面这件事，让企业在系统仍在运行的时候就能看清它的状态。系统被入侵这件事，不是单看对方有多强，而是看一家企业在最早的那段时间里做了什么。

越是慌乱的突发场景，越需要先把关键动作捋顺，按照顺序一步步推进，不要上来就盲目翻日志、改配置，漏掉关键信息反而会给后续排查和修复带来更多麻烦。抓住入侵发生后第一个小时的黄金处理窗口，把前面说的这几件关键事做扎实，才能最大限度降低入侵带来的损失，也能为后续的根因排查和长效防护打下可靠基础。