应急响应证据收集

事故初期最怕什么

主机疑似被入侵时，窗口期很短：既要止损，又要在重装或取证前把可复盘的事实留下来。手工逐项查 netstat、计划任务、SSH 公钥和 Web 目录，很容易漏项，还会在慌乱中误改现场。本技能提供 Linux/macOS 与 Windows 两套只读采集脚本，把常见 IR 检查点收成一次运行。

采集内容与执行门槛

脚本按 15 个模块输出结构化结果，覆盖：

• 环境与身份：系统版本、用户与特权账户、登录历史
• 驻留与执行面：网络连接、进程树、crontab / systemd / 启动项、远程访问配置
• 攻击面痕迹：安全日志、临时与隐藏文件、Web 目录与危险函数、挖矿特征、Rootkit 相关项
• 辅助线索：Shell 与 sudo 历史、浏览器下载目录、RPM/DEB 或系统文件哈希校验

运行前内置三步确认：① 已断网止损 ② 已下线禁止登录 ③ 已通报安全/IT；未确认则退出并提示操作要点。需 root / 管理员权限，不做任何修改，仅生成可打包带走的采集目录。

适用边界

适用于已按流程隔离后的初步主机取证，不能替代内存取证、流量镜像或司法级镜像链。黄金法则仍是：先断网、再下线、通报后、才排查；采集完成后应尽快离线保存，避免在仍联网或仍对外服务的主机上长时间停留。