第 6 课 · 出事之后：应急响应的第一小时

上架第一小时 · L2 · 第 6 / 6 节 · 约 3 分钟

服务器疑似被入侵的第一小时决定损失大小——多数「灾难扩大」不是因为攻击多高明，而是因为响应慌乱：直接重启（毁了内存里的证据）、急着删文件（打草惊蛇且可能删错）、或者干脆装作没看见。这一课给你一条固定的第一小时流程：确认 → 隔离 → 取证 → 清除 → 恢复 → 复盘，每步有命令有纪律。

第一步：确认（10 分钟）——是真入侵还是虚惊

触发信号通常是：登录告警响了陌生 IP、监控发现异常进程/流量、文件被篡改、被机房通知滥用投诉。确认动作按快慢排序：

# ① 谁在线：当前会话与最近登录（陌生 IP 即实锤一半）
w && last -20 | head -15
# ② 异常进程：CPU/内存大户与可疑名字（挖矿程序常伪装系统进程名）
ps aux --sort=-%cpu | head -8
# ③ 异常外联：连到陌生 IP 的进程（C2 回连的直接证据）
ss -tnp state established | grep -v ":22\|:443\|:80" | head -10
# ④ 最近被改动的系统文件（24 小时内）
find /etc /usr/bin /usr/sbin -xdev -mtime -1 -type f 2>/dev/null | head -10

判定口径：①②③任何一项有「说不出来历」的东西 = 按入侵处理；全干净但告警真实 = 降级为异常观察，48 小时内每 8 小时复查一轮。

第二步：隔离（5 分钟）——止血优先于破案

确认入侵后的第一动作是切断攻击者的通道，但别关机（内存里有活证据）：

# 最小隔离：防火墙只留你自己的管理 IP（攻击者的会话被切断，你的取证通道保留）
sudo ufw insert 1 allow from 你的管理IP to any port 22
sudo ufw insert 2 deny in from any to any port 22
# 对外服务临时下线（网站被挂马时防止继续坑访客）：
sudo systemctl stop nginx    # 或防火墙挡 80/443
# 云环境另一条路：控制台把安全组收紧到只允许你的 IP——效果同，动作在带外层

第三步：取证（20 分钟）——先拍照再动手

清除动作会毁证据，所以易失数据先采（顺序：内存→网络→磁盘日志）：

# ① 进程与网络快照（重启就没了，最先采）
ps auxf > /root/ir-$(date +%F-%H%M)-ps.txt
ss -tunap > /root/ir-$(date +%F-%H%M)-net.txt
# ② 可疑二进制与日志打包（别在原位删除，先复制归档）
tar czf /root/ir-evidence-$(date +%F).tar.gz /var/log/auth.log* /var/log/syslog* /root/ir-*.txt 2>/dev/null
# ③ 时间线素材：最近 48 小时被改动的文件清单
find / -xdev -type f -mtime -2 -not -path "/proc/*" -not -path "/sys/*" 2>/dev/null > /root/ir-timeline.txt
# ④ 持久化位置逐个看（攻击者要的是「重启后还在」）：
crontab -l; ls /etc/cron.d/ /etc/cron.daily/ 2>/dev/null
grep -r "authorized_keys" /root /home --include="*" -l 2>/dev/null   # 谁被加了钥匙
systemctl list-unit-files --state=enabled | tail -20                 # 陌生自启服务
cat /etc/ld.so.preload 2>/dev/null                                   # 非空即高危（用户态 rootkit 位）

第四步：清除与第五步：恢复——重装优于清理

纪律性结论：被拿到 root 的机器，清理不可信，重装才可信——rootkit 可以 hook 你用来检查的工具（你看到的「干净」是它想让你看到的）。标准路径：①从干净备份恢复数据（第 5 课的演练在这里兑现价值——恢复快不快全看练没练过）；②新装系统 + 本课程 2–4 课的基线全套；③数据回迁前扫描（备份本身可能含攻击者植入物——webshell 就在网站目录里被一起备份了）；④所有凭据轮换：SSH 密钥、数据库密码、面板密码、API 令牌——入侵者拿到 root 时，机器上的一切秘密都该视为已泄露。

第六步：复盘——把事故变成资产

一周内写一页复盘，回答四个问题：怎么进来的（入口漏洞：弱口令/未修漏洞/暴露的管理面——找到它才防得住下一次）；为什么现在才发现（监控与告警的缺口）；损失清单（数据/可用性/信誉，量化）；三个改进项（进日历、有负责人、有截止日——没有跟进的复盘是作文）。复盘的产出喂回第 1 课的威胁模型：你的模型从此带着实战修订。

本节小结

第一小时六步：确认（10 分钟四查）→ 隔离（切攻击者通道、留取证通道、别关机）→ 取证（易失数据先采，持久化位置逐个看）；
清除靠重装不靠清理：root 失守的机器清理不可信——干净备份 + 新系统 + 全凭据轮换；
复盘回答四问（怎么进的/为何晚发现/损失/三改进），产出喂回威胁模型——事故才没白出。