入侵目的不同，恢復策略大不同：從炫技、控制肉雞到竊密/破壞，分型處置才能精準止血
攻擊者入侵動機各異 (炫技、竊密、破壞、勒索)，手法與影響範圍不同，恢復必須「對症下藥」。文中將入侵細分為兩大類並給出標準化處置流程。
一、以炫技/控制為目的的入侵恢復
1.1 修改服務內容型 (如改首頁、發佈入侵聲明)
無需停機：
- 建立當前系統完整快照 (或僅備份被改動部分) 留證分析。
- 從備份還原被篡改網頁/服務內容。
netstat -an / 網路監控軟體檢視異常連線 → 立即斷開 → 分析進程/服務/日誌排查殘留操作。- 分析日誌或弱點掃描定位入侵漏洞 → 打補丁；無補丁時用防火牆/其他手段臨時緩解。
- 修補後加防火牆規則、升級 IDS/IPS/防毒特徵庫。
- 全盤弱點掃描 (確保特徵庫最新) → 專人持續監控一段時間確認無復發。
1.2 控制系統/植入後門型 (肉雞)
攻擊者為長期控制會植入後門、隱藏痕跡 (修改/刪除日誌、竄改檔案時間屬性)。處置：
- 確定入侵時間、影響範圍、嚴重度 → 建立快照保存證據。
- 網路/埠監控發現非法連線 → 全部斷開 + 防火牆封鎖 IP/埠。
- 任務管理器查異常進程/服務 → 結束；隱藏進程用 IceSword 等工具發現並終止內核模組。
- 若無法終止 → 暫停業務進入安全模式操作；安全模式仍失效 → 備份業務數據 → 還原至安全時間點 → 還原數據 (講求速度減少停機損失)。
- 檢查服務管理器 (
services.msc) 禁用非法註冊服務；清理啟動資料夾。
- 記錄所有惡意進程/服務名稱 → 註冊表與磁碟全盤搜尋刪除相關檔案/鍵值。
- 日誌分析入侵路徑與操作 → 全部更正修改 → 打補丁/臨時緩解。
- 弱點全盤掃描驗證 → 手動核查新增帳號、防火牆規則、IDS/IPS 靈敏度、被禁用的安全服務。
1.3 進階鞏固 (兩類通用)
- 修改所有管理員/資料庫/網路相關帳號密碼。
- 重設用戶權限、檔案 ACL、資料庫存取控制。
- 完成後做完整備份，與舊備份隔離保存。
⚠️ 高手會用 Rootkit 工具竄改檔案時間屬性 (最後存取/修改時間) 反取證，檢測檔案完整性必須用 RootkitRevealer 等專業工具。
二、以竊取/破壞機密數據為目的的入侵恢復
機密數據 (客戶檔、生產計劃、研發圖庫…) 是企業命脈。若發現入侵時數據已全量洩露/刪除，事後恢復備份也無法挽回洩露損失。因此 必須在攻擊者拿到/刪除數據前發現並阻斷。
恢復原則同上，但優先級更高：
- 即時斷開可疑連線、隔離受影響網段/伺服器。
- 啟動應急預案：法務、公關、技術三線並行。
- 聚焦核心資產存儲設備 (通常有獨立硬體防火牆) 的入侵鏈路分析與封堵。
- 若數據未外洩，按第一類流程恢復並加固；若已洩露，同步啟動法律追訴、通報監管、危機公關流程。
系統入侵處置無標準答案，但「分型分級、留證優先、斷網止血、根因修補、持續監控」五字訣貫穿始終。平時多演練、多備份、多審計，事發時才能從容應對。