安全事件响应

背景 一次真实的内部复盘：某支付网关的第三方 SDK 疑似被供应链投毒（版本指纹 + 行为特征都指向恶意逻辑），安全团队主张「立即下线该节点 + 隔离出口流量」，业务团队主张「先只限流、保留可观测」，理由是下线会直接损失约 10% 当夜订单

我做了 10 年安全，每次安全事件响应都绕不开一个核心矛盾：「止血」和「取证」天然打架。 【背景】 - 止血：关端口、重启服务、回滚代码、踢可疑会话——越快越好，否则损失像滚雪球一样扩大。 - 取证：保现场、抓内存、存日志、记操作——越"慢