Incident 响应

这一课你将能做到

1. 说清 NIST 定义的事件响应生命周期六阶段，并给每个阶段列出 3 个具体动作
2. 为本站写一个数据库泄露的应急响应 Runbook，包含遏制步骤（每一步的可操作命令）
3. 解释「遏制」和「根除」的区别，避免「以为删了恶意文件就安全了」的常见错误

为什么要学

再强的防御也可能被绕过。真正的安全成熟度不在于你防住了多少攻击，而在于你被攻破后，多久能发现、多久能止血、多久能恢复。很多公司的响应手册就一页纸：「重启试试」——这是灾难。

人话：事件响应（IR）就像消防演习。事前准备：灭火器在哪、疏散路线怎么走；事发时：先报警、再疏散、最后灭火；事后复盘：为什么起火、烟感为什么不响、下次怎么改进。IR 不是技术问题，是流程和纪律。

先建立图像

NIST SP 800-61 事件响应生命周期：

准备 ──→ 检测与分析 ──→ 遏制 ──→ 根除 ──→ 恢复 ──→ 事后复盘
 │           │             │         │         │           │
 │           │             │         │         │           │
Runbook   SIEM告警       断网      清后门    重建    改进+追责
演练       人工上报       改密码    打补丁    重部署  写报告
联系人表   取证分析       冻结账号  修漏洞    验证    更新预案

场景：发现数据库被拖库后的时间线：

T+0min   SIEM 告警: 异常大量 SELECT * FROM users
T+2min   值班人员确认告警属实
T+5min   遏制: ① 切流量到备用库 ② 冻结异常连接 ③ 轮换凭证
T+15min  根除: 溯源入口漏洞(SQL注入)→修代码→测试→打补丁
T+30min  恢复: 新库上线→数据校验→逐步恢复流量→监控异常
T+2h     复盘: 会议→报告→措施→责任人
T+7d     合规通知: 72小时监管窗口期(如适用)

跟着做

步骤 1：建立基础 Runbook（数据库泄露场景）

Runbook 是「遇事不慌」的底气。写清每一步、谁做、联系方式、超时升级。

# Runbook: 疑似数据库数据泄露
触发条件：SIEM 告警「异常查询量」、用户投诉数据出现在暗网、
         日志发现陌生 IP 大量连接 MySQL

## 阶段 1：检测与确认（0-5 分钟）
1. 值班人员查看 SIEM 告警详情：IP、时间、查询语句、影响范围
2. 联系应用负责人确认是否为正常业务行为（批量导出？数据迁移？）
3. 非值班时间自动拨打值班手机，5 分钟未响应升级到二线

## 阶段 2：遏制（5-15 分钟）
1. 改数据库密码（所有账号，不是只改 root）
   ALTER USER 'app'@'%' IDENTIFIED BY '新强密码';
   ALTER USER 'app_readonly'@'%' IDENTIFIED BY '另一个新密码';
   FLUSH PRIVILEGES;

2. 在数据库层断开所有现有连接（不包括管理连接）
   SHOW PROCESSLIST;  -- 找到异常连接的 ID
   KILL <连接ID>;

3. Nginx 层把流量切到维护页（保留取证日志）
   return 503;

4. 轮换所有相关密钥：
   - JWT 签名密钥 → 所有旧 token 失效
   - Redis 密码
   - 第三方 API Key（支付、短信等）
   - 服务器 SSH key（如果怀疑主机被入侵）

5. 快照备份（用于取证分析，不是恢复用）
   - 数据库完整备份
   - 服务器磁盘快照（系统盘+数据盘）
   - 相关日志文件打包拷贝到隔离存储

## 阶段 3：根除（15-60 分钟）
1. 溯源：从入侵点反推
   - 最后一条正常查询是什么时间？
   - 异常查询的第一个来源 IP？
   - 应用日志里同一时段有什么异常请求？（如 `/api/search?q=' OR 1=1`）

2. 修复漏洞：
   - 如果是 SQL 注入 → 改参数化查询
   - 如果是弱密码 → 改强密码 + MFA
   - 如果是未打补丁 → 立即升级

3. 验证修复：
   - 用原 payload 再次尝试，确认被拦截
   - 扫描全代码库同类漏洞
   - Dependabot/扫描器确认无已知 CVE

## 阶段 4：恢复（60-120 分钟）
1. 从可信备份重建数据库（不要用被拖库的数据库直接恢复）
2. 数据完整性校验：记录数、校验和抽样比对
3. 逐步恢复流量（10% → 50% → 100%），持续监控
4. 前 24 小时加强监控频率：每 5 分钟看一遍关键指标

## 阶段 5：事后复盘（24-72 小时）
1. 时间线：精确到分钟的入侵→发现→遏制→根除→恢复时间线
2. 影响评估：哪些数据被访问/修改/删除？涉及多少用户？
3. 根因：漏洞为什么存在？为什么没有提前发现？（检测盲区？无扫描？）
4. 改进措施：每个措施必须有负责人和截止日
5. 合规：确认是否触发数据泄露通知义务（GDPR/个人信息保护法 72 小时）