3. 隔离策略与隔离级别
隔离不是“把机器拔网线”这一种动作。企业安全事件响应中，隔离的目标是在阻断攻击者横向移动、数据外泄和持久化控制的同时，尽可能保留取证证据与业务连续性。这两个目标天然存在张力：隔离越彻底，攻击面越小，但业务中断和证据丢失的风险也越高。因此，隔离级别本质上是一组“强度—代价”的权衡选项，而不是越强越好。
按控制强度从高到低，常用的隔离级别可分为五类：物理隔离、网络隔离、逻辑隔离、账号隔离、应用隔离。它们作用的层次不同，可以叠加使用，也可以按事件阶段逐级升级或降级。
五类隔离的适用场景与优缺点
物理隔离适用于确认存在内核级 Rootkit、固件后门、硬件植入，或主机已完全失控且无法信任任何本地代理的场景。典型操作是断电、拔除网线与存储介质、将设备移入屏蔽柜。优点是彻底切断一切远程与本地外联，攻击者无法再操作；缺点是业务立即中断，内存中的恶意进程、加密密钥、网络连接表等易失证据随断电消失，且恢复周期长。因此物理隔离通常作为最后手段，执行前应尽量先完成内存镜像采集。
网络隔离适用于攻击者已获得主机控制权、正在横向扫描或外传数据，但主机本身仍需保留运行以便取证的情况。常见实现包括在接入交换机上 shutdown 端口、把端口划入隔离 VLAN、在核心交换机下发 ACL 只允许管理网段访问，或在防火墙上封禁该 IP 的出站流量。优点是主机保持在线，可远程做内存与磁盘取证，业务影响可控；缺点是若隔离规则只封了部分方向，攻击者可能通过未封禁的协议（如 DNS、ICMP 隧道）继续外联，且远程运维通道若被一并切断，取证也会受阻。
逻辑隔离适用于需要“精准放行、最小阻断”的场景，例如只允许主机与 EDR 管理端、补丁服务器通信，其余全部拒绝。实现方式包括主机防火墙规则、EDR 的 network containment 功能、云环境安全组或微隔离策略。优点是粒度细、可保留业务必需通道、证据完整；缺点是依赖主机代理本身可信——如果攻击者已能篡改本地防火墙或卸载代理，逻辑隔离就会被绕过。
账号隔离适用于攻击者主要通过窃取凭据、会话令牌或 API Key 进行访问的场景，例如钓鱼获取的域账号、云平台 AK/SK 泄露。操作包括禁用账号、重置密码、吊销 OAuth 令牌与 Kerberos 票据、轮换密钥、强制所有会话重新认证。优点是几乎不影响主机与网络，能快速切断攻击者的“身份通道”；缺点是若攻击者已在主机上植入后门或创建了本地隐藏账号，仅靠账号隔离无法根除，且可能触发攻击者加速破坏。
应用隔离适用于攻击面集中在某个具体服务或接口的场景，例如存在漏洞的 Web 应用、被利用的 API、异常容器。操作包括下线接口、停用服务、暂停容器、将数据库切为只读。优点是影响面最小、可快速止血；缺点是若攻击者已通过该应用获得主机权限，停应用并不能阻止其在主机层面的活动，属于“治标”手段。
选择依据：按证据价值、业务影响与攻击者能力三维决策
实际选择时，建议按以下顺序判断：
- 先判断攻击者当前能力层级：仅凭据泄露 → 账号隔离优先；主机进程可控 → 逻辑隔离或网络隔离；内核/固件级控制 → 物理隔离。
- 再评估证据价值：若内存、进程、网络连接是核心证据，应避免断电，优先网络隔离或逻辑隔离，并先做内存镜像。
- 最后评估业务影响：核心交易系统优先应用隔离或账号隔离，非关键终端可直接网络隔离甚至物理隔离。
隔离级别选择决策表（示例）
| 事件特征 | 首选隔离级别 | 关键操作 | 需注意 |
|---|---|---|---|
| 域账号被盗，出现异常登录 | 账号隔离 | 禁用账号、吊销令牌、重置密码 | 检查是否存在本地隐藏账号 |
| 主机对外扫描、C2 心跳 | 网络隔离 + 逻辑隔离 | 交换机端口隔离、EDR 遏制、仅放行管理通道 | 先采集内存与连接表 |
| Web 应用被利用，但主机未见异常进程 | 应用隔离 | 下线接口、停用服务、切只读 | 同步排查主机层是否已被提权 |
| 确认内核 Rootkit 或固件后门 | 物理隔离 | 断电、拔网线、移入屏蔽柜 | 断电前尽量完成内存镜像 |
| 云主机 AK/SK 泄露，出现异常 API 调用 | 账号隔离 + 逻辑隔离 | 轮换密钥、吊销会话、安全组收紧 | 检查是否已创建后门 IAM 用户 |
需要强调的是，隔离级别不是一次性选择，而是随事件进展动态调整的过程。初期为保留证据可采用逻辑隔离，确认攻击者已具备内核级能力后升级为物理隔离；反之，若取证完成、业务需恢复，也可从物理隔离降级为网络隔离，再逐步恢复。每次升降级都应记录时间、操作人、依据和影响范围，形成可回溯的处置链。