发现异常，先别急着断网
早上刚到公司，小李就发现自己的电脑运行特别卡，浏览器自动弹出陌生页面，甚至还有文件被加密提示要支付赎金。他第一反应是拔掉网线，但这未必是最优解。遇到疑似网络入侵，盲目断网可能中断攻击者行为日志的记录，影响后续追踪。正确的做法是保持网络连接，立即切换到备用设备，并通知IT人员取证。
隔离受影响系统，控制扩散范围
如果确认某台主机已被入侵，第一时间将其从内网中逻辑隔离。比如在路由器或交换机上关闭对应端口，或者通过防火墙规则禁止其通信。例如，在企业防火墙中添加一条拒绝规则：
<rule name="block-compromised-host">
<source>192.168.1.105</source>
<action>deny</action>
</rule>这样能防止恶意程序横向移动，感染其他设备。家庭用户可以登录路由器后台，手动禁用该设备的上网权限。
收集日志信息，锁定攻击路径
入侵发生后，系统日志、防火墙记录、登录尝试历史都是关键线索。查看服务器上的 auth.log 或安全事件管理器中的ID为4625的登录失败事件，能帮助判断是否遭遇暴力破解。重点关注以下几点：
- 异常时间段的远程登录（比如凌晨三点）
- 来自非常用地域的IP地址访问
- 频繁尝试不同用户名或密码
把这些数据导出保存，作为分析依据。
清除恶意程序，恢复干净环境
不要轻信网上所谓的“一键查杀”工具。对于已知木马，使用专业反病毒软件全盘扫描更可靠。若系统已被深度植入，建议备份重要数据后重装系统。某些勒索软件会隐藏在启动项中，可通过 msconfig 检查可疑进程，或使用 Autoruns 工具深入排查。
修补漏洞，防止二次入侵
很多入侵源于未及时更新的系统或软件。比如某次攻击利用的是 Apache Log4j 的远程执行漏洞（CVE-2021-44228），只要升级到最新版本就能规避。定期检查常用服务的安全公告，开启自动更新机制。同时关闭不必要的端口和服务，减少暴露面。
修改凭证，强化身份验证
所有可能泄露的账号密码都要立即更换，尤其是管理员账户和数据库连接密码。启用多因素认证（MFA）能大幅提升安全性。比如微信、支付宝都支持登录时短信+验证码双重验证，企业系统也可以部署基于TOTP的应用如Google Authenticator。
模拟演练，提升响应速度
公司每季度组织一次应急演练，设定场景如“网站被挂黑链”或“员工邮箱被用于发送钓鱼邮件”。团队按照预案分工操作，测试通报流程、处置效率和沟通机制。这种实战训练能让真正出事时不手忙脚乱。