终端被感染了：第一件事不是删病毒，是「冻结」

导语：周五晚上9点，安全运营中心告警：某终端检测到勒索行为。大多数团队的第一反应是「赶紧杀毒、清理、恢复业务」。但正确的第一步不是「清理」，是「冻结现场」——因为清理会毁掉取证证据，没有证据就无法溯源，无法溯源就会再次被攻破。

1. 为什么终端应急响应不能靠「救火」：

先删病毒毁证据、无标准流程漏步骤、响应慢给攻击者时间、恢复不验证会复发——四个「救火式」错误让应急响应变成了「按下葫芦浮起瓢」。

2. 什么是「终端应急响应黄金四步」：

冻结→取证→溯源→恢复，四个不可跳过、不可颠倒的步骤。核心转变是从「凭经验救火」变成「按流程处置」。

3. 四步怎么落地：

冻结（断网不关机+保全内存）→ 取证（全维度证据采集）→ 溯源（还原攻击链）→ 恢复（清除+修复+验证+恢复接入）。每步有明确动作和判定标准。

4. ManageEngine 的应急响应能力：

远程隔离（冻结）+ 行为日志采集（取证）+ 跨终端关联分析（溯源）+ 补丁配置修复（恢复），四步全覆盖，让响应从小时级到分钟级。

结语：应急响应的专业度不体现在「处理得多快」，体现在「流程有多标准」。黄金四步，让每个人都能像专家一样处置安全事件。