事件发生时，人们很少能超常发挥，能依靠的只有事先准备的东西。大家疲惫，事实稀缺，现场职位最高的人想要的答案可能根本没人知道。第一个小时里大多数有用的决定，其实都可以在某个平静的下午提前做好。
提前备好无法临场发挥的东西
- 放在系统之外的联系清单。 包括内部负责人、IT服务商、网络保险公司、律师和签约的应急响应公司。纸质和私人手机上各留一份，因为公司通讯录可能用不了。
- 带外沟通渠道。 假定攻击者能读公司邮件和聊天记录。事先约定备用渠道，并确保相关人员已经加入。
- 事先明确的权限。 谁可以不经进一步批准就断开生产系统，要写下来。
- 留得住的日志。 现在就检查保留期。如果认证日志七天就滚动覆盖，三周前的入侵还没开始查就查不下去了。
- 保险条款。 很多保单对通知时限或指定服务商有要求，要在用到之前弄清楚。
更完整的框架可以参考NIST SP 800-61第3版，它把事件响应建议放在更大的网络风险管理之中。
谁来决定
第一个小时有三个角色最关键。小机构里一人可以身兼两职，但事件负责人不应同时动手做技术工作。
- 事件负责人： 掌握时间线、分派工作、做运营决定，只协调，不碰键盘。
- 技术负责人： 查明发生了什么，提出遏制方案。
- 业务决策人： 有权承担后果的高层，比如决定让创收服务下线。
一旦需要告知核心小组以外的人，就增加一名沟通负责人。小组要小，电话会议上每多一个人，节奏就慢一点，传播猜测的范围也大一点。
这一个小时怎么过
- 第0至15分钟：确认并召集。 核实告警是否属实，启用带外渠道，指定事件负责人，开始书面记录时间、动作和执行人。
- 第15至30分钟：尽量划定范围。 可能涉及哪些账号、系统和数据？不知道就写“未知”。确定当前首要任务：保护人员、维持服务，还是阻止数据外流。
- 第30至45分钟：有分寸地遏制。 禁用失陷账号、撤销会话、把受影响主机从网络隔离。每一步都要权衡是否会惊动仍有其他入口的攻击者，但损害还在持续时，不能以此为由不作为。
- 第45至60分钟：保全并通知。 保全下文所列证据，向决策人汇报，视情况联系保险公司和律师，并定好下次通报时间。
证据
本能反应是赶紧清理，但在拿到所需证据之前要忍住。被抹掉的主机无法告诉你攻击者如何进来，而不知道这一点，就没有把握宣布事件结束。
- 隔离机器，不要直接关机。内存内容关机即失，那可能是运行痕迹的唯一来源。
- 重建之前，先对受影响系统做磁盘和内存采集或云快照。
- 立即导出日志并延长保留期，包括身份提供商、防火墙、云审计和邮件日志。
- 记录每份证据由谁、在何时经手，以备日后保险公司、监管机构或法院需要。
沟通
只说已核实的事实，也说明哪些还不知道。告诉员工该做什么、问题找谁。不要过早断言原因或攻击者，最初的推断经常是错的，公开更正代价不小。
如果可能涉及个人信息，第一个小时就要启动隐私评估。新西兰隐私专员期望机构在意识到泄露属于应通报情形后72小时内通报，这一时限属于指引，而且可以分阶段通报。新西兰国家网络安全中心也受理事件报告，并可提供指导。
是否支付赎金不是第一个小时该决定的事。这需要法律意见，也需要清楚备份的真实情况，而这两样此时都还没有。
本周可以做的事
做一次30分钟的桌面推演。给团队一个场景，比如周五晚上发现管理员账号被盗，然后问：谁来决定？邮件瘫痪时怎么互相联系？日志能追溯多久？把发现的缺口写下来，先把联系清单补好。