NIST 更新事件响应指南：防护之外还需要恢复流程
把防护配置、值班记录与业务恢复连接起来，让一次异常能够形成可复用的处理经验。
本文目录
从事故处置扩展到风险管理
NIST 于 2025 年 4 月 3 日发布 SP 800-61 Rev.3，将事件响应建议融入 CSF 2.0 的网络安全风险管理活动。它提供组织层面的框架，不是某家防护平台的控制台操作手册。
记录要能支持协同
向支持团队反馈时，带上首次发现时间与时区、域名或 IP、协议端口、错误现象和脱敏请求样本。说明最近做过的 DNS、证书、策略和应用变更，能帮助双方先排除配置问题，而非把所有失败都归为攻击。
每个阶段有退出条件
进入处置不等于完成恢复。建议分别定义异常确认、临时止损、业务恢复和事后复盘的结束条件，例如核心接口稳定、积压任务清理完成以及临时规则已复核。具体时间目标应由业务自身的恢复要求决定。
将复盘转成下一次检查
把已确认的问题分配给具体负责人，记录处理期限和验证方式。下一次发布前检查这些措施是否仍有效，特别是新域名、新端口和替换源站后的放行关系。