标签：安全应急

1.发现与初步隔离 - 识别迹象：确认是否异常，如网站篡改、被植入恶意JS、流量暴增、无法登录、异常进程或端口。 - 立即隔离：将受影响服务器从网络中隔离（断网或在防火墙上封掉对外所有端口），保留电源避免重启以便取证。命令示例：在云平台控制台关闭公网IP或在边界防火墙下拉规则。 - 记录时间线：记录首次发现时间、变更操作人、当前会话信息，避免信