网站被黑后的恢复：Incident Recovery 涵盖什么

服务简介

本冲刺从优先受理开始，确认所报告的问题、受影响的网站、您可以授权的访问权限以及任何生产环境变更时间窗口。随后，团队评审可用的日志、信号和网站证据，对可见的情况进行分类，并在已确认的访问权限范围内遏制受影响的网站。清理工作涵盖恶意代码、后门和未经授权的用户账户。之后，网站会被安全地恢复，评审中识别出的入侵入口会被封堵。您会收到一份附带加固建议的书面报告；根据服务档位不同，还可能包括一次在线发现讲解，或在约定措施完成后进行一次跟进验证评审。本项工作聚焦于约定范围内的恢复；鉴定报告、法律层面的泄露认定、官方通报和持续监测由相应的专业人员处理。

适用对象

本项服务适合以下团队：

• 网站或 WordPress 网站被黑，需要实际动手清理并安全恢复
• 在网站上发现陌生内容、重定向、垃圾页面或未知的管理员账户
• 网站在遭到入侵后已被托管服务商下线
• 能够授权访问受影响的网站和托管环境，并指定一位负责变更决策的人员

帮助厘清的问题

本冲刺帮助团队了解：

• 从所报告的问题和可用证据中能看到什么，以及哪些仍未确认
• 在范围内发现并处理了哪些恶意代码、后门、未经授权的用户和入侵入口
• 接下来应采取哪些加固措施，以降低再次被入侵的可能性
• 是否另有电子数据鉴定、法律、通报、监测或更广泛安全工作方面的需求

包含内容

• 优先受理，涵盖所报告的问题、受影响的网站、经授权的访问权限和生产环境变更时间窗口
• 对问题进行初步评审和分类，在服务档位包含时还包括可用的日志和信号
• 在已确认的访问权限范围内，实际动手遏制受影响的网站
• 清除恶意代码、后门和未经授权的用户
• 安全恢复网站并封堵已识别的入侵入口
• 附带加固建议的书面报告，在服务档位包含时另有在线讲解或跟进验证

不包含内容

• 全天候事件响应、紧急响应待命协议、固定的响应时间或实时 SOC/MDR 监测
• 对书面范围中未确认的网站、账户或服务器进行实操工作
• 电子数据鉴定、鉴定报告、法律级证据链工作、泄露认定、监管通报或法律建议
• 对彻底清理或清除所有可能痕迹的承诺
• 渗透测试、Red Team Exercise 或 Threat Hunting（除非另行界定范围）

适用时机

当网站或 WordPress 网站出现被入侵的迹象，例如意外内容、重定向、垃圾信息、未知用户、托管服务被暂停或管理员账户丢失，而您需要在明确的范围内清理并恢复网站时，可选择本服务。当您能够授权访问受影响的网站和托管环境、指定决策人并约定生产环境变更时间窗口时，效果更好。如果问题涉及更广泛的基础设施、内部系统或受监管的调查，则可能需要在本冲刺之外另行界定范围，或由专门的响应、电子数据鉴定或法律服务机构配合乃至替代本冲刺。

我们的方法

我们首先以书面形式确认网站、访问权限和变更时间窗口，使实操工作始终处于约定的边界之内。在进行任何更改之前，我们会评审可用证据并对可见情况进行分类。首先进行遏制，然后清除恶意代码、后门和未经授权的用户。随后，我们安全地恢复网站，并封堵评审中识别出的入侵入口。每一项操作都会被记录，书面报告会分别说明发现了什么、更改了什么、哪些仍不确定，以及我们建议的后续加固措施。当某个问题超出范围时，例如涉及另一台服务器、电子数据鉴定需求或法律或通报义务，我们会坦率说明，并指出合适的下一步。在服务档位包含时，交接后会进行一次跟进验证评审，检查约定措施的落实情况。

常见问题

相关文章