凌晨两点十七分，公司攻击监控大屏上突然跳出十七条红色告警。网络防火墙日志显示，应急预案来自境外的公司攻击IP正以每秒三百次的频率尝试撞库。我抓起电话打给安全主管，网络他手机响了三声才接，应急预案声音沙哑：“看到了，公司攻击正在封。网络”——这是应急预案去年某制造企业遭遇勒索攻击时的真实场景。那次事件里，公司攻击从发现异常到核心系统瘫痪，网络只用了四十分钟。应急预案

多数公司的公司攻击应急预案写得像天书，动辄几十页流程图，网络真出事时没人翻得完。应急预案我见过最离谱的一份，甚至要求“立即启动应急响应小组全体会议”。攻击都打到眼皮底下了，还开会？不如直接规定：谁看见异常，谁就有权先拔网线。这个动作本身能阻断八成横向渗透。别小看这招，去年某物流公司因为运维人员犹豫了六分钟，让勒索软件从财务部一路加密到仓储系统，赎金直接从两百万涨到八百万。

预案里最该写清楚的是“断舍离”的优先级。不是所有系统都值得救。财务数据库、客户合同、生产控制指令——这三样必须第一时间隔离。至于内部论坛、考勤打卡机，断了就断了，天塌不下来。有个血的教训：某电商公司遭遇DDoS攻击时，技术团队死保官网，结果攻击流量拐了个弯，把支付接口打瘫了。官网访问慢点无所谓，支付通道才是命根子。分清主次，比什么高深技术都管用。

日常演练也别搞成表演。我参加过不少企业的“红蓝对抗”，红队永远是那几个熟面孔，蓝队闭着眼都知道对方套路。真打起来，攻击者才不会提前打招呼。建议每季度搞一次“无脚本突袭”：随机抽一个工作日，由CEO亲自打电话给IT值班员，谎称“我电脑弹了个奇怪窗口”，看对方怎么反应。就这简单一招，能过滤掉一半“纸上谈兵”的预案。

别忘了备份的冷热分离。热备份解决不了勒索病毒——攻击者会连备份一起加密。真正救命的是离线磁带库，平时锁在铁皮柜里，恢复时得靠人工插带子。慢是慢点，但那是最后一道保险。某医院被攻击后，靠三周前的冷备份恢复了患者数据，代价是丢了近二十天的病历记录。这账算得清：丢二十天记录，总比整个系统清零强。

最后说句得罪人的话：预案写得再漂亮，不如给安全团队涨点工资。见过太多公司，防火墙买最贵的，人员培训却抠到极致。攻击发生时，真正扛事的是那几个熬夜盯日志的工程师，不是那台闪着彩灯的设备。他们要是因为待遇问题跳了槽，你花几百万买的方案，就是一堆没人会按的按钮。