简介一份面向医院信息中心及网络安全管理人员的网络攻防演练应急预案文档适用于攻防演练、信息安全突发事件处置等场景核心价值在于帮助机构建立从预警、响应到恢复的闭环流程。资源为单个 Word 格式文档压缩包大小仅为 16 千字节内容精简集中方便直接用于制度修订与内部宣贯。全文围绕预警防备机制展开将事件按影响程度划分为一至四级并明确监控预警报送、预警响应与解除的操作要求应急措施部分覆盖信息报告、先期处置、断网隔离、故障排查、数据恢复、漏洞检查和人员培训等具体环节可直接作为编写本单位预案的蓝本具有很强的落地参考价值。目前已有 1344 人学习/下载适合医院信息中心运维人员、网络安全管理员及应急响应团队参考使用。1. 攻防演练前夜应急预案不该是那份没人翻的Word攻防演练通知下来安全部门收到最多的任务就是把网络攻防演练应急预案交一份docx格式下班前发我。于是不少人把上一年的制度文件改个年份补两段红蓝队职责就算交了差。等演练真正点火这份应急预案大概率躺在共享文件夹里吃灰现场全靠电话和微信群人肉调度谁该拍板、谁去封禁、怎么留证据全凭现场发挥。这份应急预案真正要解决的不是有没有一份文档而是攻击真的发生时谁在几分钟内干什么、怎么下令、怎么记录、怎么复盘。适合读者是蓝队值班、安全工程师和负责演练组织的信息化负责人目标是把它改造成自己环境里能直接用的作战手册。2. 动笔前先把家底摸清资产清单、角色矩阵与权限预置找模板抄是最省事的写法但预案落地难九成死在第一步——写预案的人对自家环境不清楚。正文写得再漂亮不知道封禁命令打在哪台设备上、找不到系统负责人、没有应急账号权限预案就是废纸。所以动笔前我一般先花两三天做三件事盘资产、定角色、预置权限。这三件事不用写进预案正文但它们是预案所有动作能被执行的前提。2.1 资产清单不是流水账而是被打后5分钟能找到人预案里每个处置动作都对应一台设备、一个系统、一个负责人。资产清单的作用不是给领导看Excel有多全而是让值班人员在演练当晚不用翻通讯录、不用问群聊就能定位这台机器归谁、日志在哪、备份在哪。我见过最典型的翻车现场告警已经确认是核心业务服务器失陷值班员却不知道这台服务器归哪个组管在群里喊了十分钟没人应答攻击者早把后门装好了。盘点资产时不要按行政归属整理要按攻击面和网络区域组织。我的最小字段表是下面这样少于这几个字段排查时一定卡壳字段填写示例用途业务系统订单中心判断是否核心资产决定事件等级IP/域名10.24.3.10 / order.example.com定位与封禁责任人张三 138xxxx5分钟内找到人网络区域生产网-电商区决定封禁/隔离策略边界设备防火墙A / 云安全组知道去哪封备份位置备份一体机 / OSS存储恢复评估日志接入已接入SIEM/未接入排查时决定先看哪资产清单的维护有个常见误区只更新上线的新系统忘了标记下线系统。演练前一周我习惯多问一句这台机器上个月还有没有人登录过没人维护的遗留资产宁可演练前先隔离也不要让它成为红队的突破口。资产清单里的联系电话必须写手机号演练常在夜间进行座机没人接是大概率事件。2.2 角色矩阵谁下令封网、谁对外说话、谁是替补预案里写成立应急小组是最空的话。真正起作用的是角色矩阵——每个角色对应真实的岗位和人并明确在什么条件下可以行使什么决策权。演练现场最怕的不是没人干活是干活的人不敢拍板。攻击者横向移动的速度是按分钟计的如果每一次封禁都要等总指挥层层审批黄花菜都凉了。我常用的角色矩阵分五个角色外加替补原则角色人员核心职责决策权总指挥信息化负责人向上汇报、调资源、定对外口径决定全员应急启动技术决策人安全组负责人研判、指挥处置可直接决定封禁IP、隔离主机研判组安全工程师2-3人分析告警、找根因建议事件等级一线值班运维/安全值班员执行处置动作、填记录单按预案流程执行对外联络行政/PR对接客户、监管、媒体无技术决策权替补原则是所有关键角色必须写两名替补人。演练期间值班人员手机经常打不通或者一人被缠住就没人替换。我在预案里会单独建一页应急通讯录把每个角色的第一人和替补人的手机号都列上演练前发给所有相关人而不是放在文档附件里等大家自己翻。决策权的下放要具体到动作不能写视情况决定。比如技术决策人在确认两台以上主机失陷时有权直接断开对应网段的对外访问不必先请示总指挥。把这类条件写在角色矩阵里现场才能不扯皮。总指挥负责向更高层解释为什么断网而不是等批准了才断网——这个顺序要写死。2.3 权限预置应急账号要提前开着别在演练当晚申请演练当晚最磨人的不是攻击是临场要权限。系统没有sudo、防火墙密码在离职员工手里、云平台子账号没开通、日志平台账号只有只读权限每一个都能卡住处置流程。预案里必须附一张应急权限预置表演练开始前一周把账号全部配置好并实测登录一遍。我一般按这份清单核对系统/平台应急账号用途权限范围保管方式服务器生产网排查与隔离sudo、可执行停服/断网命令密码箱统一保管防火墙/负载均衡封禁IP/带宽限制策略变更权限密码箱统一保管云控制台安全组变更/子账号只授权演练涉及资源子账号临时密钥日志平台取证与检索全量项目只读独立账号堡垒机统一登录入口绑定应急账号与AD账号分开权限预置有三个细节要注意。第一应急账号权限要满足最小够用不需要给所有服务器root给演练预案里标记的核心资产组即可。第二账号密码不能放在预案Word里明文写死放进公司密码箱使用后立即改密。第三演练开始前一天要实测登录一遍攻防演练准备期资产变动非常频繁上个月能通这个月不一定能通。这些准备做完预案正文才有意义。下一章讲的编排全部建立在这三样家底之上。3. 预案正文怎么搭事件分级、响应节奏与处置动作预案正文不需要写成几十页的管理制度需要的是按事件等级套流程的可操作文本。我把正文压缩成三块事件分级、时间轴动作、话术与记录模板。这三块对演练现场最有用其余制度性描述目的、依据、适用范围简单带过即可写多了反而没人看。3.1 把慌拆成四级事件分级表怎么写才不扯皮分级不是写给人看的仪式感它直接决定响应速度和资源投入。判断依据必须是可以核对的客观事实而不是严重较大这种形容词。如果分级的判断依据模糊现场三个人会有三个判断预案流程会被无限争论拖垮。我习惯把事件分成四个等级并给每个等级配上判定依据、响应时限和上报路径事件等级判定依据满足其一即可响应时限上报路径启动范围Ⅰ级核心业务中断超过30分钟 / 核心数据泄露确认5分钟内一线直接报总指挥全员应急可断网Ⅱ级两台以上主机失陷 / 出现横向移动迹象10分钟内一线→技术决策人→总指挥应急组全员到位Ⅲ级单台主机确认被控 / 钓鱼成功且有点击行为15分钟内一线→技术决策人技术组就地处置Ⅳ级疑似告警经研判确认为误报 / 仅扫描探测30分钟内闭环一线自行处置值班组Ⅰ级和Ⅱ级的区别不是简单比数量而是看是否出现横向移动迹象——比如一台普通应用服务器开始主动外联下载工具、内网端口扫描行为出现这比单台失陷危险得多要立刻拉高等级。Ⅲ级事件里钓鱼成功但未产生内网行为可以控制在技术组范围内处置不必半夜三点把总指挥叫起来。但预案要写清楚升级条件30分钟内未确认根因自动升一级这个自动升级规则能避免现场犹豫。3.2 把处置动作钉在时间轴上0-5分钟、30分钟、2小时一旦确认告警时间比完美更重要。预案正文里我会放一张响应时间轴表把每个时间段要完成的动作、执行角色、用到的工具写清楚。这张表是演练现场最常被翻阅的一页做完动作就在表上打钩。时间段必须完成的动作执行人工具/系统0-5分钟确认告警类型初判等级拉起应急群一线值班SIEM告警平台、值班手机5-15分钟截图取证封禁源IP必要时隔离涉事主机一线值班技术决策人防火墙/云安全组/堡垒机15-30分钟向总指挥发送事件简报通知资产负责人到场研判组应急群播报模板30分钟-2小时根因分析清除持久化评估恢复/回滚研判组资产负责人日志平台、终端检测2小时-24小时加固复测恢复业务输出完整报告全员事件报告模板很多人写预案只写立即断网、立即取证但没写清谁去断、在哪断、什么条件下才能断。我在时间轴后面会附一句判断标准封禁源IP永远可以直接做不需要审批断开业务网段属于Ⅰ级动作必须由技术决策人确认或总指挥授权。5-15分钟内取证环节常常被跳过大家急着处置忘了留证据到复盘时才发现截图上没有时间、没有操作人。取证时打开系统时钟截图包含告警时间、源IP、目标IP、平台账号这是演练评分的重要依据。3.3 话术模板应急群里发什么、报告里写什么演练开始后应急群的消息会快速刷屏。信息一乱复盘时谁也说不清当时发生了什么。预案必须预置统一的播报模板每条消息只有关键字段不带主观判断。我用的播报模板长这样【演练事件播报】 时间2025-06-20 21:43 等级Ⅱ级多台主机失陷 影响范围10.24.3.0/24 网段3台生产服务器出现异常外联 当前动作已封禁目标IP涉事主机已隔离 待决事项是否断开该网段对外服务建议是需技术决策人确认 责任/记录人一线值班 张三播报模板的用途有两个。一是让群里每个人一眼看到时间、等级、影响、动作、待决不用往上翻几十条记录拼信息二是复盘时把播报记录按时间顺序拼接就是一份过程报告的骨架不需要事后靠回忆补。每一条播报都对应一次处置动作写成字段后信息汇总人每小时整理一次给总指挥指挥层不至于被群消息淹没。事件报告模板则按时间轴记录字段包括检测到的时间、确认时间、事件等级、影响资产、攻击路径、处置动作、证据文件编号、遗留问题。我建议把报告分成两部分——过程记录和总结分析。过程记录用播报模板拼出来即可总结分析回答四个问题怎么进来的、做了什么、我们怎么发现的、下次怎么更快发现。演练评分时最喜欢看过程记录因为它客观且完整。正文这三块搭完预案已经能用了。但要把整份文档交出去还得解决docx的落地问题——怎么组织目录、怎么生成表单、怎么让值班员快速翻到想找的那一页。4. 把预案交付成.docx文档结构、生成脚本与表单附件应急预案最后是以docx形式交付的。文档的组织方式直接决定现场可用性。一份几十页全是文字的预案打印出来没人愿意翻一份结构清晰、命令和表单能对号入座的预案演练时值班员会真的拿在手上翻。4.1 一份能进演练指挥室的docx长什么样我建议文档结构按正文给动作、附件给命令来组织正文尽量短附件里放所有细节。值班人员在演练现场需要的不是阅读是检索——知道自己在哪个等级就能翻到对应章节找到动作。我把文档分成七个部分章节内容现场用途第1章 总体说明适用范围、编制目的、演练背景快速了解环境边界第2章 组织角色角色矩阵、应急通讯录、替补名单找到人、知道找谁下令第3章 事件分级分级表、判定依据、自动升级规则判断当前事件等级第4章 响应流程时间轴动作表、各等级处置流程照着做打钩推进第5章 话术与报告播报模板、报告模板发群、写复盘附件A 命令手册排查、封禁、取证命令执行具体操作附件B 表单模板处置记录单、取证留存单、签到表留证据、做记录这个顺序的逻辑是模拟一个人在演练时的思维路径先判断等级第3章再找人第2章照着动作表干活第4章执行完填表单附件B。不要指望现场的人从头到尾读完目录本身要承担导航作用。我在实际交付时还会单独抽取一页速查卡放在文档最前面一页A4写清楚四级事件的三个关键动作夹在工位上比翻整本Word快得多。4.2 用python-docx快速生成预案骨架省掉手工排版的时间docx交付最耗时的是排版。方案评审前要反复改频繁在Word里点菜单很浪费时间。我一般用python-docx先生成骨架固定在脚本里维护章节结构评审后只改内容段落不碰格式。下面是一个最小生成脚本可以跑通文档骨架from docx import Document from docx.shared import Pt, Cm from docx.oxml.ns import qn doc Document() # 页边距 for section in doc.sections: section.top_margin Cm(2.54) section.bottom_margin Cm(2.54) # 设置Normal样式先设置西文字体再单独指定中文字体 normal doc.styles[Normal] normal.font.name Calibri normal.font.size Pt(11) normal.element.rPr.rFonts.set(qn(w:eastAsia), 宋体) # 封面标题与主章节 doc.add_heading(网络攻防演练应急预案, level0) doc.add_heading(1. 总体说明, level1) p doc.add_paragraph(本预案用于网络攻防演练期间的安全事件应急响应。) p.add_run(适用范围生产网、办公网、云上业务。).bold True # 角色权限表3行4列表头与新一行 table doc.add_table(rows2, cols4) table.style Table Grid headers [角色, 人员, 职责, 决策权] for idx, val in enumerate(headers): table.cell(0, idx).text val table.cell(1, 0).text 技术决策人 table.cell(1, 1).text 安全组负责人 table.cell(1, 2).text 研判/处置指挥 table.cell(1, 3).text 可决定封禁IP/断网 doc.add_heading(2. 组织角色, level1) doc.add_heading(3. 事件分级, level1) doc.save(网络攻防演练应急预案.docx)脚本里有三个关键点值得说明。第一中文字体要单独设置直接改font.name只对西文字体生效必须通过qn(w:eastAsia)指定中文字体否则生成的文档在别人电脑上打开中文会变成默认字体。第二add_heading的level参数level0是文档标题level1是章标题后续可以用level2生成小节标题脚本只在结构固化时用内容项用add_paragraph追加。第三表格样式用Table Grid最稳定Light Grid Accent 1这类带主题的样式在不同Office版本渲染有差异作为模板尽量选通用样式。脚本跑完后页码、页眉页脚这种每版都在变的东西我用手工排版最后加。目录也用手动插入——python-docx插入自动目录需要写底层域代码容易在不同版本Word里失效不值得折腾。4.3 附件表单处置记录单、取证留存单、签到表预案的附件部分是演练评分和复盘的重要支撑。表单模板要在预案发布时就给到不能等演练开始现场才设计。我固定放三张表处置记录单、取证留存单、应急签到表。处置记录单是现场执行人每小时填写的基础记录字段包括序号、时间、操作人、动作描述、执行工具/平台、命令原文、执行结果、证据文件编号。填写要求是每条动作执行完立即填不要攒到最后补。取证留存单记录证据文件的存放路径和命名规范要求截图命名按时间_源IP_目标IP_动作格式比如20250620_214500_203.0.113.10_10.24.3.10_block.png。应急签到表用于记录各角色到场时间复盘时会发现哪个环节人没到位一目了然。表单也要放进docx附件章节里用表格画好格式留出填写空间。演练后把表单整理归档就是完整的证据链。5. 应急预案常见问题排查演练现场没人按流程走的5个原因预案交付之后真正检验它的是演练现场。我把这些年见过的预案翻车情况汇总成五个高频问题每个问题按现象、原因、解决三条线梳理。这些问题在正式演练前排查一遍能避免掉大部分现场混乱。5.1 预案写了几十页现场却没人翻开它现象预案做了详细的制度描述、职责定义、流程图演练开始后应急群消息刷屏决策全靠现场喊预案文档从来没人打开。原因预案写成了管理制度而不是操作手册。信息密度太低值班员现场需要在几十页里找一条结论翻两页就放弃了。解决把预案按行动粒度重写。每个事件等级对应一页速查卡一页A4纸上只写判定依据、三个关键动作、责任人和命令手册页码。速查卡打印出来挂在值班工位这是正文之外单独交付的一页纸。5.2 按预案封禁IP误伤了业务健康检查现象演练中确认某外联IP异常按预案执行封禁一分钟后负载均衡开始报错外部访问大面积超时。最后发现封的是厂商健康检查的源IP。原因封禁动作没有排除白名单预案只写了封禁源IP没写封禁前先核对白名单。健康检查IP、监控探针IP在资产清单里往往有记录但值班员不知道或看到了也没当回事。解决在命令手册的封禁脚本里加一道白名单检查。封禁目标IP先与预置白名单比对白名单包含监控系统、健康检查、第三方接口的源IP。云环境里还要注意安全组规则的优先级黑名单规则不能覆盖已有的放行规则。封禁动作执行后先观察业务探针30秒再离开。5.3 想查日志发现日志平台根本没有这个资产的数据现象演练中主机失陷需要定位攻击路径登录日志平台搜索结果该主机的日志一条都没有。负责排查的人当场愣住只能临时去服务器上翻本地日志时间被大量消耗。原因资产盘点时没核对日志接入覆盖度很多设备没有纳入日志采集范围。预案里写了排查时看日志平台但这个前提并不成立。解决把日志覆盖自查写进演练前一周的检查清单。检查方式可以是人工核对也可以用脚本拉取日志平台索引列表与资产清单逐一比对。没有接入的资产要在预案里标注排查时直接上堡垒机看本地日志不要让现场人员到那一刻才踩空。5.4 复盘时证据链不完整演练成绩被扣分现象处置过程全做了但复盘时只能凭记忆说当时封了IP、隔离了主机拿不出带时间戳的操作记录和截图。评委判定证据不足。原因现场执行时只重处置不重记录截图随意存在本机命名混乱时间戳不完整。预案虽然写了要记录但没给具体格式。解决把处置记录单做成必填项每步动作执行完立即填命令原文必须直接复制进记录单而不是手打。截图统一按时间_源IP_目标IP_动作命名传到共享归档目录。演练前要演示一遍归档流程让执行人知道文件往哪放、命名怎么编。5.5 预案覆盖的全是已知攻击类型红队一换套路就停摆现象预案穷举了SQL注入、WebShell、暴力破解、DDoS等十几种攻击的处置方法看着很全面。红队这次从钓鱼邮件入手横向移动用的是新工具现场瞬间没了头绪。原因预案按攻击类型穷举永远追不上攻击变化。攻击类型可以无限多但攻击路径是有限的。解决把命令手册按攻击路径重新组织分入口阶段、驻留阶段、横向阶段、目标阶段四段。每个阶段统一写监测点、排查命令、处置动作不管红队用什么工具只要走的是这条路径预案就能套用。入口阶段重点查登录日志和邮件附件行为横向阶段重点查内网扫描和计划任务变更目标阶段重点查外联流量。路径不变预案就不过时。这五个坑排查完预案的可用性会提升一大截。但让它真正在演练中被执行还需要最后一件事在正式演练前让预案先在推演桌上活一遍。6. 让预案在真演练前先活一遍桌面推演、前置预演与24小时修订预案能不能用不能靠评审组读文档下结论要靠推演验证。我体会最深的是第一次带着预案做桌面推演会议室里坐了五个角色剧本走到两台主机失陷时技术决策人问我可以直接断网段吗总指挥犹豫了十秒才说断。这十秒在推演桌上不重要但在真实演练里足以让横向移动多走出几台机器。从那次之后我再也不信纸面完美的预案。桌面推演的做法很简单挑一个周末上午准备一个简短的攻防场景剧本按预案里的角色坐好计时推进。推演时只动纸面不动任何真实业务系统。过一遍Ⅰ级事件的完整流程重点验证三个环节事件升级路径是否顺畅、决策人是否敢拍板、表单记录是否跟得上动作。推演中发现的问题当场记下这就是修订预案的第一手输入。前置预演则是把预案和检测工具链串起来跑一遍在测试环境里重放一段历史攻击流量或已知攻击样本让告警、研判、封禁、记录全流程真实走通。这一步能暴露工具配置问题比如告警规则没生效、日志平台检索语句写错、封禁脚本报权限错误。做预演时要注意控制影响范围只在演练允许的测试网段里操作不碰生产业务。演练结束后趁所有人记忆还新鲜24小时内完成预案修订。修订不是重写而是把推演和正式演练中暴露的断点补上升级条件不明确、某个命令参数写错、某个角色联系不上、表单字段不够用。每一条修订都记录在文档的修订表里写明日期、修改人、变更原因。这样预案才会越用越顺手而不是明年演练又拿出去年的旧文档。我早先做应急预案也逃不过先交一份docx的任务交付心态。现在我会在交付文档的同时把推演安排一起发出去——预案的价值不在文档本身而在它被真正走一遍后暴露出的那些问题。希望帮到你。本文还有配套的精品资源点击获取