【 10个概念 】
应急响应
难易分类
简单概念
1 应急预案
概念解释：规定事件报告、角色、步骤、沟通、恢复和升级路径的文件。
实例：公司针对订单系统形成一份《应急预案》，其中写明适用对象、执行内容、责任人员和结果证据。这份可以编号、查阅和归档的文件就是应急预案。
易混淆：把“应急预案”和“现场处置记录”混为一谈。应急预案的关键是“规定事件报告、角色、步骤、沟通、恢复和升级路径的文件”；现场处置记录关注的是另一种对象、位置、作用或处理关系。
难懂概念
2 应急响应
概念解释：事件发生后开展发现、研判、遏制、修复、恢复和复盘的过程。
主要对应的问题：事件怎样被发现和分级，如何阻止影响扩大、清除原因、恢复业务并验证改进？
特殊异常情况：系统恢复运行，攻击入口和异常权限仍未清除
某商城发生数据外传后，运维人员在18分钟内重启服务器，页面恢复正常；泄露账号、恶意脚本和错误接口配置仍然存在，2小时后又有6万条记录被导出。这个实例说明：应急响应需要同时处理业务恢复、根因清除、控制验证和后续改进。
3 事件分级
概念解释：根据数据规模、敏感程度、业务影响和持续性确定事件等级。
主要对应的问题：事件怎样被发现和分级，如何阻止影响扩大、清除原因、恢复业务并验证改进？
特殊异常情况：系统恢复运行，攻击入口和异常权限仍未清除
某商城发生数据外传后，运维人员在18分钟内重启服务器，页面恢复正常；泄露账号、恶意脚本和错误接口配置仍然存在，2小时后又有6万条记录被导出。这个实例说明：事件分级需要同时处理业务恢复、根因清除、控制验证和后续改进。
4 遏制
概念解释：快速限制事件继续扩大的措施。
主要对应的问题：事件怎样被发现和分级，如何阻止影响扩大、清除原因、恢复业务并验证改进？
特殊异常情况：系统恢复运行，攻击入口和异常权限仍未清除
某商城发生数据外传后，运维人员在18分钟内重启服务器，页面恢复正常；泄露账号、恶意脚本和错误接口配置仍然存在，2小时后又有6万条记录被导出。这个实例说明：遏制需要同时处理业务恢复、根因清除、控制验证和后续改进。
5 隔离
概念解释：将受影响系统、账号、终端或网络与其他环境分开。
主要对应的问题：事件怎样被发现和分级，如何阻止影响扩大、清除原因、恢复业务并验证改进？
特殊异常情况：系统恢复运行，攻击入口和异常权限仍未清除
某商城发生数据外传后，运维人员在18分钟内重启服务器，页面恢复正常；泄露账号、恶意脚本和错误接口配置仍然存在，2小时后又有6万条记录被导出。这个实例说明：隔离需要同时处理业务恢复、根因清除、控制验证和后续改进。
6 根除
概念解释：清除漏洞、恶意因素、异常权限和不安全配置。
主要对应的问题：事件怎样被发现和分级，如何阻止影响扩大、清除原因、恢复业务并验证改进？
特殊异常情况：系统恢复运行，攻击入口和异常权限仍未清除
某商城发生数据外传后，运维人员在18分钟内重启服务器，页面恢复正常；泄露账号、恶意脚本和错误接口配置仍然存在，2小时后又有6万条记录被导出。这个实例说明：根除需要同时处理业务恢复、根因清除、控制验证和后续改进。
7 恢复
概念解释：将系统、数据、安全控制和业务恢复到可信状态。
主要对应的问题：事件怎样被发现和分级，如何阻止影响扩大、清除原因、恢复业务并验证改进？
特殊异常情况：系统恢复运行，攻击入口和异常权限仍未清除
某商城发生数据外传后，运维人员在18分钟内重启服务器，页面恢复正常；泄露账号、恶意脚本和错误接口配置仍然存在，2小时后又有6万条记录被导出。这个实例说明：恢复需要同时处理业务恢复、根因清除、控制验证和后续改进。
8 恢复验证
概念解释：检查恢复后的完整性、权限、接口、日志、告警和业务功能。
主要对应的问题：要验证哪个对象、条件和预期结果，正常路径与异常路径是否都被覆盖，发现的问题是否真正修复？
特殊异常情况：常规测试全部通过，边界条件下控制措施立即失效
测试人员执行32个标准用例全部通过，随后使用一个过期令牌连续发送500次请求，并把订单编号换成其他部门的编号，系统仍返回完整数据。这个实例说明：恢复验证需要覆盖正常、异常和边界条件，并保存可复现证据。
9 复盘改进
概念解释：事件结束后还原时间线并更新制度、配置、工具和培训。
主要对应的问题：事件怎样被发现和分级，如何阻止影响扩大、清除原因、恢复业务并验证改进？
特殊异常情况：系统恢复运行，攻击入口和异常权限仍未清除
某商城发生数据外传后，运维人员在18分钟内重启服务器，页面恢复正常；泄露账号、恶意脚本和错误接口配置仍然存在，2小时后又有6万条记录被导出。这个实例说明：复盘改进需要同时处理业务恢复、根因清除、控制验证和后续改进。
10 应急演练
概念解释：模拟事件，检验人员、流程、工具和恢复能力。
主要对应的问题：事件怎样被发现和分级，如何阻止影响扩大、清除原因、恢复业务并验证改进？
特殊异常情况：系统恢复运行，攻击入口和异常权限仍未清除
某商城发生数据外传后，运维人员在18分钟内重启服务器，页面恢复正常；泄露账号、恶意脚本和错误接口配置仍然存在，2小时后又有6万条记录被导出。这个实例说明：应急演练需要同时处理业务恢复、根因清除、控制验证和后续改进。