列出终端被入侵的可观察信号与第一步处置动作。下面按“先判断、再动手、最后验证”的顺序展开，每一步都给出可核对的检查点。
涉及 主机被控、恶意程序、异常外联 的关键动作都写成了具体命令或配置项，可以照着走，也可以当检查表用。
鼠标自己动、风扇无故满转、浏览器多出陌生扩展、杀毒被静默关闭。
用资源监视器看陌生进程的出向连接，把域名丢进威胁情报库查归属。
断网优先于杀毒，防止数据继续外传；随后改邮箱、网盘等核心密码。
截图异常进程与连接，记录时间线，找专业支持前别自行清理干净。
回顾最近装过的软件与打开过的附件，入口通常在一次「顺手安装」里。
| 环节 | 关键动作 |
|---|---|
| 异常信号 | 鼠标自己动、风扇无故满转、浏览器多出陌生扩展、杀毒被静默关闭 |
| 外联核查 | 用资源监视器看陌生进程的出向连接，把域名丢进威胁情报库查归属 |
| 第一步处置 | 断网优先于杀毒，防止数据继续外传；随后改邮箱、网盘等核心密码 |
| 取证留档 | 截图异常进程与连接，记录时间线，找专业支持前别自行清理干净 |
Q：按文中写法改完，怎么确认真的生效？
不要只看配置文件，用对应的验证命令或从外部视角复测一次；改完先小流量观察一段，再全量推进，出问题能马上回退。
Q：按文中的步骤做完，还需要注意什么？
把处理过程和最终生效的参数记下来。同类问题再出现时直接对照记录，比重查一遍快得多。
Q：业务规模小，也要按这套标准来吗？
不需要一次到位。先把影响最大的两项做到位，剩余的随着业务增长逐步补齐，比一开始就追求完美更容易落地。
回到这篇的 5 个环节：异常信号、外联核查、第一步处置、取证留档、溯源。把这几个动作写进检查表，下次遇到同类问题按顺序过一遍，比凭经验跳步骤稳。
微信公众号
微信客服
