凌晨三点十七分，网络运维老周被手机震醒。攻击屏幕上是事件连续十七条告警推送，全部指向同一台核心数据库服务器。应急预案他光脚跑到书房，网络笔记本开机那三十秒，攻击感觉像过了一个世纪。事件等他远程连上去，应急预案发现数据表已经被加密，网络勒索信就躺在根目录下，攻击文件名取得相当嚣张：pay_up_or_else.txt。事件

这种事，应急预案预案里写得再漂亮，网络真发生时永远是攻击另一副面孔。我见过太多企业把应急预案做成厚厚一本，事件封面烫金，放在档案柜里吃灰，真出事时连应急小组组长都出差在外地。别笑，这是常态。

所以预案第一条，不是技术，是人。谁有权决定断网？谁负责联系法务？谁去跟公安网安部门对接？这些必须落实到具体姓名和备用联系方式，贴在机房门口和钉钉置顶群。老周那次，幸亏他记得副总手机号，凌晨四点把对方叫醒，五分钟内拍板切断外网——晚了那二十分钟，横向扩散可能把整个财务系统也拖下水。

技术层面，别指望什么银弹。断网隔离是第一步，但断之前要留证据。抓包、日志备份、系统镜像，这些动作必须在断电前完成。老周当时做了个聪明决定：先冻结云平台快照，再拔网线。事后警方取证时，那份快照成了关键证据。记住，攻击者往往比你更懂你的系统，他们留下的后门可能不止一个。

接下来是沟通。内部别瞒，外部别慌。给员工发通知要直白：系统遭攻击，暂停服务，别点可疑链接，密码强制重置。给客户和合作伙伴的话术要提前拟好，别等对方问上门才结结巴巴。我见过最糟糕的公关，是某公司被攻击后沉默三天，结果谣言满天飞，股价先崩了。

恢复阶段最考验耐心。别急着把业务全量上线，先跑最小化核心功能，观察二十四小时。攻击者可能留了定时炸弹，你以为清干净了，其实某个边缘节点还藏着计划任务。老周他们恢复花了三天，头一天只开放了邮件系统，第二天才逐步放开CRM，第三天晚上才把全业务拉起来。这期间，每两小时做一次全盘扫描，日志审计一刻不停。

最后，也是很多人忽略的——复盘要狠。别开成表彰会，也别变成追责会。就事论事，问三个问题：入口在哪？为什么没拦住？下次怎么拦？老周后来查明，是某台测试服务器暴露了弱口令，而它和核心库在同一VPC下。这个低级错误，让整个安全团队背了大半年绩效压力。

预案这东西，平时像废纸，战时是保命符。但保命符得常更新，每季度做一次模拟演练，把攻击脚本换成最新的，让运维和开发都参与。别怕麻烦，真到出事那天，你会庆幸自己多演练过一次。那种半夜被手机震醒的滋味，尝一次就够了。