标签：事件响应

1. 初始判断与隔离在确认服务器可疑或被利用（流量异常、CPU/网络占用高、可疑进程）时，第一步要把服务器从公网/内网隔离，拔掉不必要的网络接口或在交换机上断开端口；记录时间点与当前状态。子步骤：1) 在排查前拍摄快照或导出虚拟机快照/磁盘镜像；2) 记录当前网络连接 ss -tunap 或 netstat -plant；3) 关闭外部管理端口