综合实训：在线考试平台异常导出事件

9.1 场景背景

某在线考试平台包含用户中心、考试系统、成绩系统、证书系统、数据库审计平台、日志平台和备份系统。周六凌晨，监测平台发现考试运营账号在 40 分钟内连续查询并导出大量考生信息和成绩，同时来源终端与日常办公终端不一致。

9.2 已知信息

9.3 任务一：告警核查

9.4 任务二：建立时间线

9.5 任务三：初步研判

该行为同时具备非工作时段、未知终端、数据量异常、敏感数据、导出与外联等特征，优先级较高。需要快速上报并按较大事件线索开展研判。正式分级由负责人依据实际外泄范围、数据规模、业务影响和制度确认。

9.6 任务四：遏制建议

1. 按授权冻结 exam_ops 账号并终止现有会话。

2. 临时撤销导出角色和异常令牌。

3. 限制相关终端的外部网络连接并保留现场。

4. 暂停可疑导出任务和未登记外部接口。

5. 提高相关数据库、接口和终端的监测等级。

6. 通知业务负责人、安全负责人和应急联系人。

9.7 任务五：证据清单

9.8 任务六：根除与修复

• 确认账号被盗、凭据泄露、权限误配或内部滥用的根因。
• 重置相关凭据，吊销令牌和异常会话。
• 回收过度权限，完善导出审批和有效期。
• 为高风险账号启用多因素认证。
• 修复终端、接口或系统中的安全缺陷。
• 优化异常查询、导出和外联告警阈值。

9.9 任务七：恢复与复盘

9.10 完整事件初判记录示例