2026年网络安全应急处置知识试题及答案

2026年网络安全应急处置知识试题及答案一、单项选择题（共25题，每题1分）1.在网络安全应急响应中，通常采用PDCERF模型来指导响应流程。其中，“C”代表的阶段是（）。A.准备B.检测C.遏制D.根除【答案】C【解析】PDCERF模型包括准备、检测、遏制、根除、恢复、跟踪六个阶段。C代表Containment，即遏制阶段，旨在限制事件扩散范围。2.根据中国《网络安全法》及相关规定，网络运营者应当在发生网络安全事件时，立即启动应急预案，并采取相应的补救措施。对于特别重大的网络安全事件，向有关主管部门报告的时间要求是（）。A.1小时内B.2小时内C.24小时内D.立即报告【答案】A【解析】根据国家网络安全事件应急预案，对于特别重大（I级）网络安全事件，必须在1小时内向有关主管部门报告。3.在应急响应中，为了防止攻击者通过后门再次入侵，最彻底的措施是（）。A.修改管理员密码B.安装杀毒软件C.格式化硬盘并重装系统D.打补丁【答案】C【解析】虽然打补丁和修改密码是重要措施，但为了彻底清除无法检测的Rootkit或持久化后门，格式化硬盘并从可信源重装系统是最彻底的方法。4.以下哪种工具主要用于网络流量分析，帮助应急响应人员发现异常数据包？（）A.NmapB.WiresharkC.MetasploitD.BurpSuite【答案】B【解析】Wireshark是网络协议分析器，用于捕获和交互式地浏览网络流量，是流量分析的首选工具。5.某Web服务器遭受了SQL注入攻击，攻击者试图通过`UNIONSELECT`语句获取数据库中的敏感信息。在日志分析中，最典型的特征字符串是（）。A.<script>alert(1)</script>B.../../etc/passwdC.'OR'1'='1D.%00【答案】C【解析】`'OR'1'='1`是经典的SQL注入测试payload，用于绕过登录验证或构造永真条件。6.在Windows系统应急响应中，查看当前系统建立的TCP网络连接的命令是（）。A.netstat-anB.ipconfig/allC.routeprintD.nslookup【答案】A【解析】`netstat-an`可以显示所有活动的TCP连接以及计算机监听的TCP和UDP端口。7.应急响应团队到达现场后，第一步操作应该是（）。A.断开网络连接B.备份现场数据C.询问相关人员D.分析日志【答案】B【解析】根据取证原则，为了确保数据的原始性和完整性，防止数据丢失或被篡改，到达现场后的第一步应当是备份现场数据（包括内存、磁盘等）。8.勒索病毒攻击中，攻击者通常使用（）算法对文件进行加密，以确保受害者无法在没有私钥的情况下解密。A.MD5B.AESC.Base64D.RSA【答案】B【解析】勒索病毒通常使用对称加密算法（如AES）加密文件内容（速度快），然后使用非对称加密算法（如RSA）加密AES密钥。但针对文件内容的加密主要依靠AES等强对称加密算法。9.DDoS攻击中，攻击者利用大量僵尸主机向目标发送海量请求，导致目标资源耗尽。在反射型DDoS攻击中，常用的协议不包括（）。A.NTPB.DNSC.SSDPD.TCP【答案】D【解析】反射型DDoS攻击通常利用无连接的、请求包小但响应包大的UDP协议（如NTP,DNS,SSDP）。TCP是面向连接的，常用于SYNFlood等直接攻击，而非典型的反射放大攻击（虽然TCP反射存在但不常见于主流放大攻击）。10.在Linux系统中，如果发现`/etc/passwd`文件被异常修改，除了检查文件内容外，还应重点检查（）。A./var/log/messagesB./etc/shadowC./etc/groupD./etc/hosts【答案】B【解析】`/etc/passwd`存储用户信息，`/etc/shadow`存储加密后的密码。如果攻击者试图提权或添加后门账户，通常会同时涉及这两个文件。11.应急响应中，“遏制”阶段的主要目标是（）。A.找出攻击源B.恢复业务正常运行C.限制攻击造成的损害范围D.收集法律证据【答案】C【解析】遏制阶段的核心目的是将事件控制在最小范围内，防止其进一步扩散到其他系统或网络。12.关于Webshell的检测，以下说法错误的是（）。A.可以通过文件哈希特征进行静态检测B.可以通过文件创建时间进行排查C.Webshell运行时一定会消耗大量CPU资源D.可以通过流量特征进行动态检测【答案】C【解析】Webshell运行时通常比较隐蔽，不一定会消耗大量CPU资源，尤其是简单的命令执行型Webshell。13.在应急响应的风险评估中，计算风险值的公式通常表示为（）。A.风险=资产价值B.风险=威胁×脆弱性C.风险=威胁+脆弱性D.风险=资产价值×威胁【答案】B【解析】在信息安全风险评估中，通用的风险计算模型为：风险=威胁×脆弱性×资产价值。但在简化的应急场景分析中，常指风险由威胁和脆弱性共同决定。选项B在概念上最接近核心逻辑（若无资产价值因子，则选B；若有完整公式通常包含资产）。但在多数应急响应处置的选择题语境中，强调的是安全事件发生的可能性（威胁利用脆弱性）。若选项中有“风险=可能性×影响”则更佳。在给定选项中，B最符合风险构成的要素关系。14.下列哪项不是APT（高级持续性威胁）攻击的典型特征？（）A.攻击具有明确的针对性B.攻击持续时间长C.通常利用零日漏洞D.攻击者追求快速的经济利益【答案】D【解析】APT攻击通常由国家背景或有组织黑客团体发起，目的是窃取机密信息或破坏基础设施，而非像勒索软件那样追求快速经济回报。15.在Windows日志中，事件ID为（）的日志通常记录了用户登录成功或失败的信息。A.4624B.4625C.403D.500【答案】A【解析】Windows安全日志中，4624表示账户登录成功，4625表示登录失败。403和500通常是Web服务器状态码。16.应急响应人员在进行恶意代码分析时，为了观察代码运行行为且不感染主机，通常使用（）环境。A.物理机B.虚拟机（无网络）C.沙箱D.云服务器【答案】C【解析】沙箱（Sandbox）提供了一种隔离的执行环境，用于安全地运行和分析可疑程序，限制其对宿主系统的访问。17.当发现遭受CC攻击时，以下哪种缓解措施最为有效？（）A.关闭Web服务器B.在防火墙上限制源IP连接频率C.增加服务器带宽D.修改DNS记录【答案】B【解析】CC攻击是应用层DDoS，模拟正常用户请求。限制源IP的连接频率或请求速率是识别和缓解CC攻击的有效手段。18.“应急响应计划（IRP）”演练的主要目的不包括（）。A.验证预案的可行性B.提升团队协作能力C.找出预案中的不足D.确保系统永不遭受攻击【答案】D【解析】演练可以提升防御和响应能力，但无法保证系统“永不遭受攻击”，这是不切实际的目标。19.在Linux系统中，检查系统当前运行的所有进程的命令是（）。A.ps-efB.ls-lC.df-hD.top-n1【答案】A【解析】`ps-ef`（或`psaux`）用于查看当前运行的进程快照。`top`是动态监控，但在脚本化取证中`ps`更常用。20.针对供应链攻击的应急响应，重点应放在（）。A.仅修补被攻击的服务器B.追溯软件分发的源头并撤销信任C.立即切断所有外网连接D.重新安装操作系统【答案】B【解析】供应链攻击意味着上游软件或组件被污染。仅修补本地服务器不够，必须追溯源头，停止使用受污染的组件版本，并更新信任机制。21.以下哪项属于“恢复”阶段的关键任务？（）A.确定攻击根源B.将系统恢复到正常状态C.收集攻击证据D.封锁攻击IP【答案】B【解析】恢复阶段的目标是将受影响的系统还原到安全正常的运行状态，并恢复业务功能。22.在应急响应中，使用“时间线分析”的主要目的是（）。A.评估损失金额B.重建攻击过程，确定攻击时间点C.备份所有数据D.生成报告给领导【答案】B【解析】时间线分析通过整合系统日志、应用日志等，按时间顺序梳理事件，帮助还原攻击者的行动轨迹和入侵时间。23.某内网主机通过ICMP协议向外发送大量数据包，且数据包负载中包含敏感数据，这属于（）技术。A.DNS隧道B.ICMP隧道C.HTTP隧道D.FTP隧道【答案】B【解析】利用ICMP协议的Payload部分传输数据，常用于防火墙绕过和数据外带。24.在应急响应结束后，撰写《应急响应报告》时，不需要包含的内容是（）。A.事件现象描述B.处置过程记录C.攻击者的家庭住址D.改进建议【答案】C【解析】除非经过法律授权且警方介入，否则报告通常不包含攻击者的个人隐私信息（如住址），重点在于技术分析和防御建议。25.下列关于“最小权限原则”在应急响应中的应用，说法正确的是（）。A.所有服务都应以Root/Administrator权限运行B.应临时提升普通用户权限以便快速排查C.日常运维和应急响应中应仅使用完成任务所需的最低权限D.最小权限原则会降低应急响应效率，因此不建议在应急中采用【答案】C【解析】最小权限原则是安全基石，即使在应急响应中，也应尽量使用低权限账户进行操作，防止误操作或扩大攻击面。二、多项选择题（共15题，每题2分）1.网络安全安全事件按照性质划分，主要包括（）。A.有害程序事件B.网络攻击事件C.信息破坏事件D.信息内容安全事件E.设备设施故障【答案】ABCDE【解析】根据《网络安全事件分类分级指南》，网络安全事件分为有害程序、网络攻击、信息破坏、信息内容安全、设备设施故障和灾害性事件等。2.应急响应中的“准备”阶段工作内容包括（）。A.组建应急响应团队B.制定应急响应预案C.进行安全意识培训D.部署安全监测设备E.漏洞扫描与补丁管理【答案】ABCDE【解析】准备阶段是PDCERF的第一步，旨在为可能发生的事件做全方位准备，包括人员、预案、技术手段和系统加固等。3.常见的Web攻击应急响应场景包括（）。A.网页篡改B.Webshell挂马C.SQL注入导致数据泄露D.暴力破解后台密码E.跨站脚本攻击（XSS）【答案】ABCDE【解析】以上均为Web层面常见的安全事件，需要应急响应介入。4.在Linux系统被入侵后，以下哪些文件或目录是排查的重点？（）A./etc/passwd和/etc/shadowB./var/log/下的各类日志C./tmp/目录下的异常文件D.crontab定时任务E.root用户的历史记录【答案】ABCDE【解析】排查Linux入侵需检查账号文件、系统日志、临时目录（常用于恶意文件存放）、启动项/计划任务以及用户操作历史。5.针对勒索病毒事件，正确的处置步骤包括（）。A.立即断网隔离受感染主机B.使用杀毒软件进行全盘扫描查杀C.查找勒索病毒的样本和哈希值D.尝试使用解密工具解密文件E.直接支付赎金【答案】ABCD【解析】支付赎金不仅不鼓励，且可能助长犯罪，并不保证能拿回数据。标准流程是隔离、查杀、分析、尝试解密（若存在）、从备份恢复。6.应急响应中进行现场取证时，需要收集的主要证据类型包括（）。A.内存镜像B.磁盘镜像C.系统日志E.网络流量包F.人员访谈笔录【答案】ABCDEF【解析】完整的取证包括易失性数据（内存）、非易失性数据（磁盘）、各类日志、网络数据以及相关人员的口述记录。7.以下哪些工具常用于Windows系统的应急响应？（）A.AutorunsB.ProcessExplorerC.EventViewerD.TCPViewE.Wireshark【答案】ABCDE【解析】Autoruns查看启动项，ProcessExplorer查看进程，EventViewer查看日志，TCPView查看网络连接，Wireshark抓包。这些都是标准工具。8.判断是否存在端口扫描行为的依据包括（）。A.短时间内大量不同端口收到连接请求B.大量来自同一IP的TCPSYN包C.日志中出现大量ConnectionRefusedD.单个IP请求了不常见的端口（如445,3389,22等）E.流量中包含正常HTTP请求【答案】ABCD【解析】端口扫描特征通常表现为探测多种端口、发送大量SYN包或尝试访问敏感的高危端口。正常HTTP请求通常不是扫描特征。9.应急响应结束后，需要进行“总结”阶段的工作，包括（）。A.编写应急响应报告B.更新应急响应预案C.对相关人员进行培训D.修补发现的安全漏洞E.追踪攻击者（如需）【答案】ABCDE【解析】总结阶段旨在吸取教训，更新文档，加固系统，并可能涉及后续的法律追踪。10.下列属于“数据破坏”类安全事件的是（）。A.数据库被删除B.网页被挂黑链C.用户隐私数据被窃取D.系统配置被恶意修改导致瘫痪E.硬盘物理损坏【答案】ABCD【解析】数据破坏主要指信息被删除、修改、丢失等。硬盘物理损坏属于设备设施故障，虽然结果也是数据不可用，但分类上不同。但在广义理解中，D属于配置数据破坏。E通常归为物理故障。11.在应急响应中，保护证据链完整性的措施包括（）。A.对收集的电子证据计算哈希值B.使用写保护设备处理硬盘C.确保证据存储在安全的环境中D.由专人负责证据的交接和记录E.允许取证人员在证据机上随意操作【答案】ABCD【解析】随意操作会破坏证据完整性，必须禁止。哈希校验、写保护、环境安全、专人监管是保障证据链的关键。12.常见的缓冲区溢出攻击利用手段包括（）。A.堆溢出B.栈溢出C.格式化字符串漏洞D.整数溢出E.SQL注入【答案】ABCD【解析】SQL注入属于Web注入类，不属于内存层面的缓冲区溢出攻击（虽然都利用了程序逻辑错误）。13.面对大规模DDoS攻击，应急响应团队可以采取的缓解策略有（）。A.启用流量清洗服务B.修改DNS解析指向高防IPC.在边界防火墙丢弃异常包D.限制源IP速率E.关闭服务器【答案】ABCD【解析】关闭服务器虽然停止了服务，但也意味着攻击成功（拒绝服务），通常不是“缓解”策略的首选，除非为了止损。流量清洗、高防IP、限速是标准缓解手段。14.下列关于应急响应中“沟通”的说法，正确的有（）。A.应建立统一的对外信息发布口径B.内部沟通应保持实时性C.涉及法律案件应优先联系警方D.无需告知业务部门，技术部门自行解决即可E.沟通记录应作为文档的一部分【答案】ABCE【解析】安全事件会影响业务，必须与业务部门沟通协作。D选项错误。15.在分析恶意软件时，静态分析可以获取的信息包括（）。A.文件的哈希值B.文件包含的字符串C.PE文件头信息D.程序运行时的网络行为E.导入导出表【答案】ABCE【解析】运行时的网络行为属于动态分析范畴，静态分析不运行程序。三、判断题（共15题，每题1分）1.应急响应的首要目标是彻底消灭攻击者。（）【答案】×【解析】应急响应的首要目标是遏制事件影响，恢复业务正常运行，并将损失降至最低。消灭攻击者通常超出技术响应范畴，属于执法部门职责。2.在制作磁盘镜像进行取证时，必须使用“dd”等工具保证逐位复制，以保持数据的完整性。（）【答案】√【解析】这是电子取证的基本要求，确保副本与原件一致。3.只要服务器安装了最新的杀毒软件，就可以完全避免被Webshell入侵。（）【答案】×【解析】杀毒软件无法防御所有攻击，特别是零日漏洞或基于逻辑的漏洞，且Webshell可以通过加密、混淆等方式免杀。4.发现网络攻击后，应立即修改所有系统用户的密码。（）【答案】√【解析】这是一项重要的遏制措施，防止攻击者利用窃取的凭据进行横向移动。5.应急响应过程中，为了快速恢复业务，可以直接使用被感染系统上的备份数据进行恢复，无需进行病毒扫描。（）【答案】×【解析】备份文件可能早已被感染或包含后门，恢复前必须彻底扫描和验证。6.PDCERF模型中的“检测”阶段是指通过技术手段发现安全事件的发生。（）【答案】√【解析】检测阶段的核心就是确认安全事件是否发生及其性质。7.只有当系统无法访问时，才需要启动应急响应流程。（）【答案】×【解析】数据泄露、网页篡改等虽然不一定导致系统不可访问，但也属于严重安全事件，需要启动应急响应。8.在Linux系统中，如果发现`/bin/ls`文件的大小发生了变化，这极可能意味着系统已被Rootkit感染。（）【答案】√【解析】系统二进制文件大小异常改变是Rootkit替换系统命令的典型特征。9.应急响应报告中的技术细节越少越好，以免暴露内部网络结构。（）【答案】×【解析】报告应详细记录技术细节以便复盘和改进，但在对外发布时需进行脱敏处理。内部报告应详尽。10.所有的网络攻击都会产生防火墙日志。（）【答案】×【解析】如果攻击来自内网，或者防火墙规则配置不当（放行），可能不会产生被拦截的日志，或者攻击绕过了防火墙。11.针对APT攻击的应急响应通常需要结合威胁情报（ThreatIntelligence）进行分析。（）【答案】√【解析】APT攻击复杂且隐蔽，利用威胁情报（如IOC哈希、C2域名）能更有效地识别攻击特征。12.重装系统是解决所有主机入侵问题的万能药。（）【答案】×【解析】虽然重装系统很有效，但如果未修补漏洞或未找到入侵途径（如SSH密钥泄露），重装后可能立即再次被入侵。13.应急响应团队在处理事件时，应优先考虑保留现场证据，其次才是恢复业务。（）【答案】×【解析】这是一个权衡问题。对于关键业务，通常优先恢复业务（如热备切换），同时并行或事后进行取证。但在严重犯罪案件中，取证优先。一般原则是“业务优先，兼顾取证”，具体视情况而定。但在标准考试中，通常强调“业务连续性”是核心，但若涉及法律调查则证据优先。根据常规最佳实践，对于一般企业，恢复业务通常优先级最高，以免造成巨大经济损失。此题若偏向纯取证视角则为对，偏向运维视角则为错。考虑到“应急处置”的语境，通常是遏制->恢复->总结。因此判断为错，因为不能一概而论说优先保留证据。14.在Windows系统中，事件ID4720表示“创建用户”成功。（）【答案】√【解析】Windows安全日志中，4720ID对应“已创建用户账户”。15.ICMPRedirect攻击可以被用来进行中间人攻击。（）【答案】√【解析】ICMP重定向消息可以欺骗主机修改路由表，将流量导向攻击者，从而实现中间人攻击。四、填空题（共15题，每题1分）1.网络安全应急响应的六个阶段模型中，P代表准备，D代表检测，C代表遏制，E代表根除，R代表恢复，F代表\_\_\_\_\_\_\_\_。【答案】跟踪（或总结/Follow-up）2.在进行数字取证时，为了保证证据的不可篡改性，通常使用\_\_\_\_\_\_\_\_算法（如MD5或SHA-256）对证据文件计算哈希值。【答案】散列（或哈希/Hash）3.常见的Web日志格式中，记录客户端IP地址的字段通常是\_\_\_\_\_\_\_\_。【答案】%h（或远程主机地址）4.在Linux系统中，查看当前用户计划任务的命令是\_\_\_\_\_\_\_\_。【答案】crontab-l5.DDoS攻击中，SYNFlood攻击利用了TCP协议的\_\_\_\_\_\_\_\_缺陷。【答案】三次握手（或SYN半连接/Sem-connection）6.应急响应中，针对被入侵的Web服务器，应重点查找包含\_\_\_\_\_\_\_\_函数的PHP文件，以排查Webshell。【答案】eval（或system/assert/exec）7.在Windows注册表中，很多恶意软件会设置\_\_\_\_\_\_\_\_键值来实现开机自启动。【答案】Run（或RunOnce）8.\_\_\_\_\_\_\_\_是一种通过模拟正常用户行为，对Web应用层发起大量请求，导致服务器资源耗尽的攻击方式。【答案】CC攻击（或HTTPFlood）9.应急响应小组（CERT）在处理跨组织攻击时，常用的协作机制是\_\_\_\_\_\_\_\_。【答案】信息共享（或联席会议/应急联络机制）10.在流量分析中，如果发现大量发往非标准端口（如4444,5555）的流量，可能意味着攻击者正在尝试建立\_\_\_\_\_\_\_\_。【答案】反向Shell（或远程控制/C2连接）11.风险评估公式Risk【答案】资产价值12.某文件显示的扩展名是.jpg，但文件头魔术数字是PK，说明该文件可能经过了\_\_\_\_\_\_\_\_伪装。【答案】双后缀（或伪装/隐藏）13.在应急响应中，将受影响系统从网络中移除但保持运行的状态称为\_\_\_\_\_\_\_\_。【答案】隔离14.\_\_\_\_\_\_\_\_攻击是指攻击者通过篡改DNS解析结果，将用户引导至恶意网站。【答案】DNS劫持（或DNS欺骗）15.应急响应预案应定期进行演练，建议至少每年进行\_\_\_\_\_\_\_\_次。【答案】1（或一）五、简答题（共6题，每题5分）1.请简述PDCERF模型中“遏制”阶段的主要目的和常用措施。【答案】目的：限制事件造成的进一步损害，防止攻击者扩散到其他系统，保护未受影响的资产。常用措施：1.网络隔离：拔掉网线、禁用网卡或在防火墙/交换机上封锁VLAN。2.服务禁用：停止被攻击的服务（如Web服务、数据库服务）。3.账号封禁：禁用被攻破的或可疑的系统账号。4.修改凭证：修改相关管理员和用户密码。5.路由控制：通过ACL策略阻断攻击源IP或受害IP的通信。2.在Windows系统应急响应中，如何排查系统是否存在隐藏的恶意账号？【答案】1.检查`/etc/passwd`和`/etc/shadow`（Linux对应，Windows下检查本地用户和组）：查看是否有异常新增的用户，特别是属于管理员组的用户。2.检查注册表：查看`HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users`下的项，对比用户RID，寻找隐藏账号（如$结尾的账号）。3.使用工具：利用`netuser`命令对比实际登录用户，或使用Autoruns、D盾等工具检测非常规用户。4.检查组策略：查看是否通过脚本或组策略添加了后门用户。5.日志审计：查看安全日志中的ID4720（创建用户）和4732（添加到组）记录。3.简述勒索病毒事件的应急处置流程。【答案】1.隔离：立即断开受感染主机的网络连接（物理断网或逻辑隔离），防止横向传播。2.取证：对内存和磁盘进行镜像备份，便于后续分析勒索病毒类型和溯源。3.分析：确定勒索病毒家族、感染途径、加密文件类型。4.抑制：在全网范围内扫描相同特征，排查其他感染主机。5.恢复：利用干净的离线备份恢复数据和系统。若无备份，可查询NoMoreRansom项目等是否有解密工具。6.清理：重装系统，修补漏洞，更新安全策略。7.总结：总结教训，加强防勒索措施（如邮件网关过滤、终端防护）。4.在Web日志分析中，如何识别SQL注入攻击的尝试？【答案】1.关键字匹配：搜索日志中包含SQL敏感字符的请求，如单引号`'`、双破折号`--`、井号`#`、`unionselect`、`or1=1`、`sleep(`、`waitfordelay`等。2.异常错误码：检查HTTP状态码为500（服务器内部错误）的请求，可能因为注入导致SQL语法错误暴露。3.编码特征：查找URL编码或Hex编码后的恶意Payload。4.请求长度：关注异常长的GET或POST请求。5.特定参数：针对ID、Category等数值型参数，检测是否接收到字符串或特殊字符。5.简述应急响应中“时间线分析”的重要性及构建方法。【答案】重要性：时间线分析能帮助应急人员还原攻击路径，确定攻击发生的初始时间（入口点），识别攻击者在系统内的停留时间和操作序列，从而找出被遗漏的后门或未修复的漏洞。构建方法：1.收集证据：汇总系统日志（WindowsEventLog,LinuxSyslog）、应用日志、Web日志、数据库日志、文件系统时间戳（MACB时间）。2.标准化时间：将所有日志的时间戳统一格式和时区。3.排序与关联：按时间先后顺序排列所有关键事件（登录、进程创建、文件修改、网络连接）。4.标记异常：识别出时间线上的异常点（如非工作时间的登录、系统工具启动时间异常）。5.可视化：使用工具（如Plaso,Timesketch）生成可视化的时间轴图表。6.针对DDoS攻击，除了购买高防服务，本地还有哪些应急缓解手段？【答案】1.优化系统与网络配置：调整SYNCookies、缩短超时时间、增加TCP半连接队列长度。2.访问控制：在防火墙或WAF上启用封禁策略，封禁攻击源IP、限制特定国家/地区IP、限制非业务端口。3.流量清洗：使用本地流量清洗设备或ISP提供的清洗服务。4.限流：在Web服务器（如Nginx/Apache）或应用层对单一IP的请求频率进行限制。5.资源扩容：临时增加带宽、弹性扩展云服务器资源以吸收攻击流量。6.屏蔽服务：如果攻击针对特定非核心接口，可暂时关闭该接口以保全整体业务。六、综合案例分析题（共3题，每题10分）1.案例背景：某电商平台在“双11”大促期间，Web服务器集群出现CPU利用率飙升，部分用户反馈无法正常登录，且页面偶尔出现乱码。安全团队介入应急响应。问题：(1)请列举可能的安全事件类型。(2)作为应急响应人员，你应该如何排查？请写出排查思路。(3)如果确认为Webshell攻击导致的CC攻击，应如何处置？【答案】(1)可能的安全事件类型：DDoS/CC攻击（流量或应用层压力导致服务不可用）。Web入侵（Webshell上传导致系统被控，可能被用于挖矿或作为跳板）。系统故障（非人为因素，如数据库死锁，但在安全场景下优先考虑攻击）。网页篡改（乱码可能意味着被挂马或页面被替换）。(2)排查思路：1.确认现象：查看监控系统，确认CPU、内存、网络带宽的异常峰值。2.进程排查：登录服务器，使用`top`（Linux）或任务管理器查看占用CPU最高的进程。3.网络排查：使用`netstat-an`查看异常网络连接，特别是外连IP。4.日志分析：分析Web访问日志，查找访问量最高的IP、URL，以及HTTP200/500状态码分布。5.文件排查：检查Web目录（如uploads、images）下是否有可疑的PHP/JSP/ASP文件（Webshell）。6.流量抓包：使用Wireshark抓取网络包，分析数据包内容。(3)处置措施：1.遏制：立即修改数据库连接密码、后台管理密码；在WAF或防火墙层面对攻击源IP进行封禁；限制单IP请求频率。2.根除：定位并删除Webshell文件；查找Webshell上传途径（如文件上传漏洞），修补代码漏洞；检查是否存在隐藏的恶意系统账号或定时任务。3.恢复：将Web目录代码回滚至被入侵前的干净版本；重启Web服务。4.报告：记录攻击特征、Webshell哈希、攻击IP，并更新WAF防护规则。2.案例背景：某公司内网终端安全报警，提示某台主机尝试连接多个内网主机的445端口。经查，该主机感染了“永恒之蓝”相关的勒索病毒变种，内网多台服务器已被加密。问题：(1)简述该勒索病毒的传播原理。(2)针对内网已爆发的勒索病毒，请制定详细的应急响应方案。(3)如何防止此类事件再次