列出终端被入侵的可观察信号与第一步处置动作。下面按“先判断、再动手、最后验证”的顺序展开，每一步都给出可核对的检查点。

涉及 主机被控、恶意程序、异常外联 的关键动作都写成了具体命令或配置项，可以照着走，也可以当检查表用。

异常信号

鼠标自己动、风扇无故满转、浏览器多出陌生扩展、杀毒被静默关闭。

外联核查

用资源监视器看陌生进程的出向连接，把域名丢进威胁情报库查归属。

第一步处置

断网优先于杀毒，防止数据继续外传；随后改邮箱、网盘等核心密码。

取证留档

截图异常进程与连接，记录时间线，找专业支持前别自行清理干净。

溯源

回顾最近装过的软件与打开过的附件，入口通常在一次「顺手安装」里。

速查表

常见问题

Q：按文中写法改完，怎么确认真的生效？
不要只看配置文件，用对应的验证命令或从外部视角复测一次；改完先小流量观察一段，再全量推进，出问题能马上回退。

Q：按文中的步骤做完，还需要注意什么？
把处理过程和最终生效的参数记下来。同类问题再出现时直接对照记录，比重查一遍快得多。

Q：业务规模小，也要按这套标准来吗？
不需要一次到位。先把影响最大的两项做到位，剩余的随着业务增长逐步补齐，比一开始就追求完美更容易落地。

小结

回到这篇的 5 个环节：异常信号、外联核查、第一步处置、取证留档、溯源。把这几个动作写进检查表，下次遇到同类问题按顺序过一遍，比凭经验跳步骤稳。

相关阅读：办公网络安全基础：路由器与WiFi、IP信誉与黑名单服务对比、出海合规：数据出境与基础要求。

延伸阅读：内网横向移动的防护、防撞库注册：手机号与验证码的风控、办公网络安全基础：路由器与WiFi。