应急响应服务

服务方式

service mode

格修科技应急响应服务包括单次服务和年度服务两种形式，服务地点可以选择客户现场和远程两种方式，客户可以根据需要选择适合自己的服务。

事件处理流程

格修科技应急响应服务事件处理流程主要分为三个阶段，包括事件初期、应急响应实施及输出报告与汇报：

• 事件初期

在实施应急响应工作前，客户经理或项目经理收到客户申请应急响应支持，由客户经理或项目经理协调内部技术支持人员和客户技术人员第一时间取得联系，了解事件发生情况。技术人员判断事件类型，是否需要启用应急响应服务。

• 应急响应实施

在判断事件类型可能为安全事件，启用应急响应后，技术人员通过现场或非现场等方式进行信息收集工作，详细了解掌握事件发生的始终、现状、可能的影响，对事件进行详细分析，提供事件处理建议，并协助客户解决事件。

• 输出报告与汇报

待事件处理结束后，技术人员整理事件分析、事件处理的过程记录和相关资料，撰写应急响应服务记录报告，提交给客户。对于大型、复杂的应急响应过程还需进行整体的事件处理汇报工作。

合作伙伴

先保护业务和证据

发现异常时先记录现象、时间、受影响资产和已采取动作，联系有决策权的业务与运维负责人。隔离、停机、账号禁用或恢复备份可能影响业务并改变证据，应根据现场风险和授权安排，避免未经判断反复重启或覆盖日志。

分清已知事实与待查线索

收集必要的日志、告警、变更记录与系统状态，建立时间线并逐步确认影响范围。保留原始记录和获取方式，避免把一次工具告警直接视为已经发生的数据泄露。证据材料含敏感信息时，应限制访问、传递范围和留存。

恢复后仍需验证

在受控条件下验证关键业务、权限与监测，再记录恢复依据和未解决问题。复盘宜形成根因证据、整改责任及验证计划，不能只以服务恢复判断事件结束。具体响应方式、可用人员和时间安排须先确认，网站介绍不构成全天候即时到场承诺。

常见问题

先恢复业务还是先取证？

应结合持续损害、业务重要性与证据易失性做现场决策，记录负责人和理由。两者可分阶段协调推进，不能用固定顺序替代对实际事件的判断。