网站被挂码、账号被盗、数据被加密，发生时最怕的是没人知道先做什么。把这几步写成清单贴在墙上，比事后复盘更有用。
安全事件真正造成损失的，往往不是攻击本身，而是发现晚、处置乱。中小企业没有专职安全团队，更需要一份能照着做的清单。
第一步是发现与确认。异常迹象包括：网站出现陌生页面或被搜索引擎标注风险、管理员收到异地登录提醒、服务器对外发起异常连接、文件被批量改名。发现后先确认范围：是单个站点还是整台服务器、是否涉及数据库、是否有数据外泄迹象。
第二步是隔离而不是关机。直接关机会丢失内存中的线索，也可能导致业务中断扩大。正确做法是断开对外网络、保留现场、复制日志与关键文件用于分析，再按预案切换备用环境。
第三步是改密码与撤权限。所有相关账号（服务器、数据库、后台、域名解析、云平台）立即改密，检查是否被添加了陌生账号或密钥，撤销可疑的登录会话。域名解析被改是常见手法，要重点核对解析记录与域名账号的登录日志。
第四步是清理与恢复。从备份恢复前先确认备份未被污染，恢复后逐项验证页面、数据库与配置。清理后门文件与异常计划任务，更新框架与插件版本，关闭不必要的对外端口。
第五步是报告与复盘。涉及个人信息泄露的，按规定向主管部门报告并通知受影响用户；内部要出复盘，写明入口、影响范围、处置时间线与改进项。不复盘的团队，通常会在半年内被同一手法再打一次。
日常预防比应急更划算：定期更新组件、关闭不用的服务、备份并演练恢复、限制后台访问来源、给域名与云账号开启操作提醒。这些动作不复杂，但能挡掉大部分 opportunistic 的攻击。
