应对网络攻击应急预案

凌晨三点十七分，应对应急预案某银行核心交易系统突然出现异常流量。网络监控大屏上，攻击代表数据包涌入的应对应急预案曲线像心电图一样疯狂跳动。值班工程师老张的网络第一反应不是拔网线，而是攻击掏出手机拍下屏幕——这是他的职业习惯，也是应对应急预案这份应急预案第一条铁律：先留证，再处置。网络

真正的攻击攻击往往没有电影里那种炫酷的弹窗警告。去年某制造企业遭遇勒索病毒，应对应急预案IT主管发现时，网络生产管理系统已经瘫痪了四个小时。攻击他们按下断网按钮的应对应急预案动作倒是很快，但忽略了最要命的网络备份服务器——那台机器连着同一个交换机，病毒早就顺着内网爬了过去。攻击等安全团队到场时，连恢复用的离线备份都被加密了。这事儿后来成了圈子里流传的经典反面教材。

所以预案的第一章就该写清楚：断网不是目的，止损才是。具体来说，接到告警后的五分钟内，要完成三个动作——确认攻击类型（是DDoS流量轰炸还是定向渗透）、锁定影响范围（哪些服务器在喘气、哪些已经躺平）、启动分级响应（黄色级别只隔离受感染区段，红色级别才允许直接拉闸）。这些判断依据必须提前做成卡片贴在值班室墙上，别指望人在慌乱中还能背出流程。

处置环节最忌讳单打独斗。我见过太多技术负责人死扛着不汇报，想自己搞定攻击者。结果呢？攻击者在系统里横向移动了三天，把财务、人事、研发的数据库翻了个底朝天。正确的做法是立刻拉群，把网络、系统、应用、法务甚至公关部门的人全拽进来。群里每条消息都带时间戳，谁负责什么动作、什么时候完成、当前状态如何，全部可视化。有个朋友公司的做法挺聪明，他们给每个应急角色配了红黄蓝三色马甲，线下作战室里谁在干哪摊活儿一眼就能看清。

恢复阶段别急着庆祝。攻击者可能留了后门，就像蟑螂窝里只踩死一只成虫根本没用。常规流程是：先启用干净备份恢复核心业务（记得验证备份文件本身没被污染），然后逐台重装系统、修改所有账号口令、更新安全补丁。这活儿枯燥，但必须有人盯着做完。去年有家电商公司恢复业务后第三天又被攻破，就是因为运维图省事，直接从原服务器导出了数据库——密码哈希早被人改过了。

最后说点预案里不会写的。每次演练结束，记得把参与人员拉去喝顿酒。倒不是为了团建，而是让工程师们能松口气聊出真话——哪个环节的授权流程卡了脖子、哪台备用设备其实根本启动不了、谁在关键时刻手抖输错了命令。这些藏在流程缝隙里的真实问题，比任何测试报告都值钱。应急响应的本质不是对抗机器，而是对抗人性里那点侥幸和慌乱。预案写得再厚，不如让执行它的人多犯几次错，再笑着把坑填平。