一、核心概念
- 应急响应：事发前准备 + 事发时/后按流程处置，控制损失、恢复业务、防止再犯
- 英文：Incident Response（IR）
- 团队：CSIRT；国内协调常考 CNCERT/CC
二、PDCERF 六阶段
- 准备 Preparation：团队、预案、工具、备份、演练、加固
- 检测 Detection：确认事件、定类型/级别、上报、保全证据
- 抑制 Containment：限制扩散（断网、隔离、封账号/端口）
- 根除 Eradication：清恶意、打补丁、清后门、改口令
- 恢复 Recovery：可信备份还原、验证、持续监测
- 总结 Follow-up：报告、复盘、改预案/策略、再评估
应急响应六阶段：先准备，再检测，抑制住再根除，恢复完要总结（字头：备检抑根恢总）。
三、抑制 vs 根除
| 抑制 | 根除 |
|---|
| 圈住火：限制范围 | 灭火源：彻底清除根因 |
| 断网、隔离、封堵 | 杀毒/清后门、补丁、重置凭证 |
抑制 vs 根除：先抑制后根除；抑制是圈住火，根除是灭火源。
四、事件四级（从重到轻）
| 级 | 名称 |
|---|
| I | 特别重大 |
| II | 重大 |
| III | 较大 |
| IV | 一般 |
事件四级分类：特别重大最要紧，重大较大一般跟。
五、预案与演练
- 预案含：组织职责、分级、报告、处置步骤、联系人与资源
- 演练：验证流程可执行，发现缺口
六、下午卷模板
按 备检抑根恢总 写点；点明先抑制后根除；检测阶段写证据保全；恢复写可信备份与监测。
七、英文速记
| 中文 | 英文 |
|---|
| 应急响应 | Incident Response |
| 准备 | Preparation |
| 检测 | Detection |
| 抑制 | Containment |
| 根除 | Eradication |
| 恢复 | Recovery |
| 总结/跟踪 | Follow-up |