根据 Mandiant 的说法，您不应该：
错误#1：立即进入“补救模式”——也称为“打地鼠”
……如此处所述：http: //blog.mandiant.com/archives/1525
在某些情况下，通过断开连接立即采取行动是明智的吗？
与此问题合并，因为答案应该有用且相似：
当服务器被root（例如这种情况）时，您可能决定做的第一件事就是遏制。一些安全专家建议不要立即进行补救，并在取证完成之前保持服务器在线。这些建议通常是针对 APT 的。如果您偶尔遇到 Script Kiddie 违规行为，情况会有所不同，因此您可能会决定尽早补救（修复问题）。修复的步骤之一是包含服务器。引用 Robert Moir 的回答 - “将受害者与抢劫者联系起来”。
拉动网线或电源线即可容纳服务器。
哪种方法更好？
考虑到以下需求：
- 保护受害者免受进一步伤害
- 执行成功的取证
- （可能）保护服务器上的有价值数据
编辑：5个假设
假设：
- 您提前检测到：24 小时。
- 您想尽早恢复：1 名系统管理员在工作中的 3 天（取证和恢复）。
- 服务器不是能够拍摄快照以捕获服务器内存内容的虚拟机或容器。
- 您决定不尝试起诉。
- 您怀疑攻击者可能正在使用某种形式的软件（可能很复杂），并且该软件仍在服务器上运行。