问 AI 助教考点精讲
- 事件响应（Incident Response）的标准步骤（可简记 DRM-RRRL）：检测（Detection）发现安全事件；响应（Response）启动响应团队、评估事件并分级；缓解/遏制（Mitigation/Containment）隔离受影响系统、切断攻击路径，防止损害扩大，是响应的关键；报告（Reporting）按规定向内部管理与外部监管通报；恢复（Recovery）恢复系统与业务到正常状态；修复（Remediation）根除漏洞与攻击根因，防止复发；经验教训（Lessons Learned）总结复盘、更新流程与防御。遏制阶段的核心原则是「先控制、再取证、再恢复」，避免过早恢复破坏证据。事件响应依赖事先建立的 CSIRT（计算机安全事件响应团队）与应急预案。
记忆技巧
记「检响遏报复修教」——发现、行动、摁住、上报、恢复、除根、复盘。
记缩写 DRM-RRRL：检测（Detection）、响应（Response）、缓解（Mitigation）、报告（Reporting）、恢复（Recovery）、修复（Remediation）、教训（Lessons）。
记关键原则：遏制是「先摁住火、别急着收拾」——先控制、再取证、再恢复。
记缩写 DRM-RRRL：检测（Detection）、响应（Response）、缓解（Mitigation）、报告（Reporting）、恢复（Recovery）、修复（Remediation）、教训（Lessons）。
记关键原则：遏制是「先摁住火、别急着收拾」——先控制、再取证、再恢复。
常见误区
- 跳过「遏制」直接恢复——不先隔离攻击源，恢复后仍会被再次攻破。
- 把「恢复」与「修复」混同——恢复是回到正常，修复是根除漏洞防止复发。
- 忽视「经验教训」——不复盘就无法改进，同类事件会反复发生。
真题思路
- 【示例】 【示例】常考「事件响应步骤的先后顺序」或「某动作（隔离主机/上报/复盘）属于哪一步」，遏制与修复的区分是高频陷阱。参考 Practice Tests 第 7 章（Domain 7）。
常见问题
Q：为什么遏制要先于恢复？
A：先隔离攻击源才能防止损害扩大，也为取证保留现场。
Q：谁负责事件响应？
A：通常由 CSIRT（计算机安全事件响应团队）牵头，跨部门协同。
Q：跳过遏制直接恢复行吗？
A：不行，不先隔离攻击源，恢复后仍会被再次攻破。
Q：恢复和修复一样吗？
A：不一样，恢复是回到正常，修复是根除漏洞防止复发。
Q：经验教训可以省吗？
A：不能，不复盘就无法改进，同类事件会反复发生。
相关知识
教材出处：Domain 7 · 安全运营 事件响应的标准步骤