网络攻击后的黄金两小时：应急响应如何决定恢复速度

网络攻击发生后的最初几分钟内，一切都会陷入混乱。核心系统瘫痪，邮件系统被冻结或不再安全，应急响应团队必须迅速行动以减少损失并防止事态扩大。

然而，恶意攻击者并非受攻击组织面临的唯一威胁。在关键的前两个小时内做出错误决策的应急响应团队成员，也可能加剧混乱，将原本预期五天的恢复过程拖延成五周的危机。有时候，他们造成的技术损害和法律风险甚至比黑客本身更严重。

最初120分钟决定恢复时间

最初的两个小时应用于组建响应团队。这项工作首先要联系违约应对律师，即便是在凌晨三点也不例外。一旦律师介入，取证专家、恢复专家、谈判人员以及客户方的主要联系人便会聚集在一起，评估事件范围。接下来，需要建立紧急和非紧急情况下的安全沟通渠道，例如使用Signal和临时电子邮箱，尤其是在邮件系统本身也遭到攻击的情况下。

从技术角度而言,企业应及时采取安全加固措施，以降低恢复期间再次遭受攻击的风险。企业还应展开全面调查，确定哪些系统遭到入侵、多少数据被窃取，以及犯罪分子的攻击手法。如果攻击涉及勒索软件，企业应聘请专业谈判人员与犯罪团伙沟通，并聘请了解如何修复被破坏和加密系统的恢复专家。

大多数数据泄露事件会迅速从技术问题演变为法律、运营和财务危机。这正是为什么响应团队应首先联系违约应对律师，帮助评估法律责任、巩固律师-客户保密特权，并在需要时主导通知流程。

IT团队不能依赖以往的培训经验

海豹突击队有句名言：“压力之下，你不会超越水平发挥，只会退回到训练的水准。”对于像海豹突击队这样训练精良的精英团队来说，这句话是一种激励。但对于负责应对网络安全事件的内部IT团队而言，依赖以往培训经验反而可能让情况变得更糟。

这是因为IT团队日常用来解决大多数常规故障的实用方法——清空数据并重建新系统——在数据泄露后是错误的做法。凭直觉采取这种做法看似合理，但实际上可能让恢复工作变得更加艰难。团队可能会因此销毁关键证据，导致真正的漏洞依然敞开。如果他们在攻击者留下的后门之上重建系统，同样的事件将会再次发生。

备份系统真的可靠吗

快速且成功的应急响应，并非来自清空受感染的系统，而是依靠恢复可信的备份。尽管大多数企业会在冗余系统中备份数据，但残酷的现实是，许多备份系统在恢复过程中并不可靠，而且在遭受攻击之前很少经过测试。

备份系统可能通过33种方式无法成功恢复。其中只有一种是蓄意破坏。另有八种可以通过日常监控发现。剩下的24种则是潜伏的故障，即使对IT团队来说也几乎无法察觉。

发现这些隐藏故障模式的唯一方法，就是进行常规的恢复测试。忽视这一关键步骤，就如同让应急发电机闲置多年，直到停电时才启用。发电机或许能启动，但成功的概率并不高。

IT负责人还必须明白，即便拥有最强的安全防护体系，也不足以完全阻止数据泄露事件的发生。正因如此，企业还必须在整个环境中实施持续监控。如果没有持续监控，网络犯罪分子可能悄悄植入后门，在系统中潜伏数天甚至数周才发动攻击，让企业在毫无察觉的情况下持续处于风险之中。

在网络攻击面前，企业规模并不重要

一些企业认为自己规模太小，不会成为攻击目标，或者认为自己的数据没有足够的吸引力。但现实中的案例却讲述着不同的故事。我们不仅看到犯罪分子针对资源不足的行业发起攻击，包括制造业、律师事务所、会计师事务所、政府机构和学区，也看到医疗保健等高度监管行业遭受大量攻击。

此外，威胁行为者的攻击是不加区分的。如今大多数数据泄露事件始于自动化攻击，攻击者利用AI大规模检测防火墙或其他面向互联网系统中的漏洞，随后不论企业类型或规模，都会尝试加以利用。这些由AI驱动的入侵行为，往往由最初获取访问权限的犯罪分子和访问权限中间商实施，他们随后将这些访问权限出售给实际发起攻击的犯罪团伙。

鉴于风险的普遍存在，企业最好在真正需要之前就与应急响应合作伙伴建立关系。优秀的应急响应机构应能全天候待命，知道如何立即启动合适的团队、协调违约应对律师、建立安全的沟通渠道，而且最重要的一点是，能够防止那些出于好意却可能让恢复工作延误数周的决策。

大多数企业更专注于防范网络威胁，却在恢复规划方面投入不足。然而，勒索软件攻击发生后的前两个小时，恰恰是决策、领导力和规划最为关键的时刻。恢复速度最快的企业，往往是那些能够迅速动员，并遵循既定的遏制与恢复最佳实践的企业。

Q&A

Q1：网络攻击发生后的前两个小时应该做什么？

A：前两个小时应用于组建应急响应团队，包括联系违约应对律师、召集取证专家和恢复专家、建立安全沟通渠道，同时启动安全加固措施和全面调查，以确定哪些系统被入侵。

Q2：数据泄露后为什么不能直接清空系统重装？

A：这是IT团队常规处理故障的做法，但在数据泄露后并不适用。直接清空数据并重建系统可能会销毁关键证据，导致真正的漏洞未被发现，如果在攻击者留下的后门上重建系统，同样的攻击事件还会再次发生。

Q3：企业规模小是否就不会被网络攻击？

A：不会。现实案例显示，制造业、律师事务所、政府机构、学区等资源不足的行业，以及医疗保健等高度监管行业都曾遭受攻击。如今大多数攻击是自动化的，攻击者利用AI大规模扫描漏洞，不论企业规模大小都会被尝试攻击。