2. 应急响应基础概念
面试官问“什么是应急响应”时，如果你只回答“出事后赶紧处理”，基本会被判定为没有体系认知。应急响应是一套以事件分级为起点、以生命周期为骨架、以PDCERF模型为执行路径的工程化方法。本章把这四个概念讲透，并给出可直接用于面试作答的定义模板。
一、事件分级：先定级，再决定投入多少资源
事件分级（Incident Severity Classification）的本质是资源调度依据，不是给事件贴标签。分级错了，要么小题大做浪费人力，要么大事化小导致损失扩大。面试中常考“你如何给安全事件定级”，标准答法是给出可量化的维度，而不是凭感觉。
常用分级维度包括：受影响资产的重要性（核心数据库 vs 测试机）、受影响用户或业务规模、数据敏感级别（是否涉及个人信息、商业秘密）、攻击是否仍在持续、是否已造成实际损失、是否触发监管或合规上报义务。把这些维度组合后，通常划分为四级：
| 级别 | 典型场景 | 响应要求 |
|---|---|---|
| 特别重大（Ⅰ级） | 核心业务系统被勒索加密、大规模数据泄露、关键基础设施瘫痪 | 立即启动最高响应，1小时内上报，全员介入，必要时外部支援 |
| 重大（Ⅱ级） | 单台核心服务器被入侵、部分用户数据泄露、业务中断超过阈值 | 30分钟内响应，成立处置小组，2小时内给出初步结论 |
| 较大（Ⅲ级） | 办公终端中木马、非核心系统异常、小范围钓鱼事件 | 2小时内响应，按SOP处置，记录归档 |
| 一般（Ⅳ级） | 单次扫描告警、被拦截的攻击尝试、误报确认 | 按日常工单处理，留存日志，无需升级 |
面试作答时建议补一句：分级不是一次性的。事件在处置过程中可能升级或降级，例如最初判断为Ⅲ级的终端木马，若发现其正在横向扫描内网核心网段，应立即升级为Ⅱ级甚至Ⅰ级。这体现的是动态研判能力。
二、响应生命周期：从准备到复盘的闭环
响应生命周期描述的是“一次完整应急从开始到结束要经历哪些阶段”。业界常见表述有NIST的四个阶段（准备、检测与分析、遏制根除恢复、事后活动），也有六个阶段的版本。面试中不必纠结阶段数量，关键是说清每个阶段的输入、动作和输出。
以一次真实可操作的流程为例：
- 准备阶段：建立资产清单、日志留存策略、应急联系人表、工具包（取证镜像工具、内存抓取工具、隔离用防火墙策略模板）。输出是可随时调用的应急资源清单。
- 检测与分析：从告警、用户报告或外部通报中确认事件。关键动作是验证告警真实性并初步判定范围。例如收到EDR告警“某主机进程调用powershell下载远程脚本”，先查该进程命令行、父进程、网络连接，确认是否为恶意行为。
- 遏制：阻止扩散。常见操作包括网络隔离（交换机端口关闭或防火墙封禁）、账号禁用、进程终止。注意：遏制前若需取证，应先做内存和磁盘镜像，避免证据丢失。
- 根除：清除恶意文件、修复被利用漏洞、重置受影响凭据。例如确认攻击者通过Web漏洞上传webshell后，删除webshell、修补该漏洞、重置Web服务账号密码。
- 恢复：将业务系统恢复到正常状态。恢复前需验证系统干净，例如重新扫描无恶意文件、确认无异常外连。恢复后加强监控，观察是否再次出现同类告警。
- 复盘：输出事件报告，包含时间线、根因、处置动作、损失评估、改进项。改进项要落到具体责任人和完成时间。
三、PDCERF模型：六步法在面试中的标准表述
PDCERF是国内应急响应领域高频引用的模型，六个字母分别代表：Preparation（准备）、Detection（检测）、Containment（遏制）、Eradication（根除）、Recovery（恢复）、Follow-up（跟踪/复盘）。它与生命周期本质一致，但更强调“检测”和“跟踪”两个环节的独立性。
面试中常被追问：“PDCERF里最容易出问题的是哪一步？”建议回答遏制与根除的边界。很多新手在遏制阶段直接删除恶意文件，结果破坏了攻击链证据，导致无法判断攻击者如何进入、是否还有其他后门。正确做法是：先取证再清除，或者至少同步记录关键信息（文件路径、哈希、进程树、网络连接）。
另一个高频追问是：“恢复阶段如何判断可以恢复？”给出可操作的判断依据：恶意进程已终止且无自启动项、恶意文件已清除且无残留、漏洞已修复、受影响凭据已重置、监控中无同类告警持续出现。满足这些条件后再逐步恢复业务，而不是一次性全量上线。
四、关键术语与面试高频定义题
以下术语在面试中几乎必问，建议按“一句话定义+一个例子”的方式准备：
- IOC（Indicators of Compromise）：入侵指标，指可用来判断系统是否被入侵的痕迹，如恶意IP、域名、文件哈希、注册表键值。例：某恶意样本的SHA256哈希。
- TTP（Tactics, Techniques, and Procedures）：攻击者的战术、技术和过程，描述“怎么攻击”，比IOC更稳定。例：攻击者使用钓鱼邮件投递宏文档。
- MTTD / MTTR：平均检测时间与平均响应时间，衡量应急能力的关键指标。面试中可提“缩短MTTD靠日志覆盖和告警优化，缩短MTTR靠预案和演练”。
- 遏制（Containment）：限制事件影响范围的动作，分短期遏制（如断网）和长期遏制（如打补丁前的临时策略）。
- 根除（Eradication）：彻底清除攻击者驻留和利用条件，不等于恢复业务。
- 误报（False Positive）与漏报（False Negative）：误报是告警但非真实攻击，漏报是真实攻击未告警。应急中要平衡两者，不能一味追求零误报。
- 证据链（Chain of Custody）：取证过程中记录证据的提取、传递、保管过程，确保可追溯。面试中若问“如何保证取证有效”，这是核心答案。
五、面试高频定义题作答示例
题目：请解释什么是应急响应，并说明PDCERF各阶段的核心任务。
参考作答：应急响应是组织在安全事件发生后，为控制损失、恢复业务、追溯根因而采取的一系列有组织、有流程的技术与管理动作。PDCERF模型中，准备阶段建立资源和预案；检测阶段确认事件并初步研判；遏制阶段限制扩散；根除阶段清除威胁和漏洞；恢复阶段安全地恢复业务；跟踪阶段复盘并改进。每个阶段都有明确输入输出，不能跳步，尤其不能跳过取证直接删除。
题目：事件分级为Ⅱ级后，你的前三个动作是什么？
参考作答：第一，确认事件真实性和当前影响范围，避免误判；第二，按预案通知应急负责人和相关负责人，启动响应小组；第三，在取证前提下实施遏制，如隔离受影响主机或封禁恶意IP，防止扩散。同时记录时间线和关键操作，为后续复盘保留依据。
本章的概念是后续所有实操章节的底座。面试中遇到“你怎么理解应急响应”这类开放题，把分级、生命周期、PDCERF和关键术语串起来讲，就能体现出体系化认知，而不是零散经验。