。”

    老李皱眉：“什么意思？”

    “你看这里。”我放大一条记录，“这个IP确实发起了高危请求，但它返回的数据包里嵌了我们的水印标识——说明它是沙盒生成的假攻击。可如果我们不做标记，事后根本分不清哪些是真敌人，哪些是我们自己演出来的。”

    小陈反应过来：“万一将来拿这些数据去追责，拿错了怎么办？”

    “就是这个问题。”我说，“我们必须让每一滴‘血’都有DNA编码。不管是真是假，只要经过沙盒的，就必须自带唯一标识。”

    老李立刻动手：“我在日志头部加个字段，叫‘source_tag’，真实攻击标0，沙盒生成标1，再加一个UUID做追踪码。”

    “还要加密。”我说，“不然被人反向破解，照样能伪造。”

    “行。”老李敲代码，“用轻量级哈希算法签名，每次启动沙盒时动态生成密钥。”

    小陈提议：“要不要再加个时间衰减机制？比如沙盒生成的数据有效期只有二十四小时，过期自动作废，防止长期滞留污染数据库。”

    “聪明。”我说，“就这么办。以后所有模拟演练生成的数据，都必须带四重标记：来源标签、加密指纹、时间戳、责任归属ID。”

    第三个漏洞也被堵上了。

    但我们还没完。

    第三次推演，我特意提高了复杂度——让小陈同时发起舆情攻击和伪装客户咨询，老李则模拟突发DDoS冲击主服务通道。这一次，真正的短板浮现了。

    当三类警报同时弹出时，系统虽然能识别，但我们缺乏统一的响应标准。

    “到底先处理哪个？”小陈问。

    “高危技术攻击。”我说。

    “可舆论已经在论坛发酵了。”他说，“已经有真实玩家开始讨论。”

    “那就分级。”我说，“我们之前只分了技术和舆情，现在得建一个综合评估模型。”

    我当场提出“三级响应模型”：

    一级：自动化拦截。所有低危行为，如单个马甲发帖、轻微刷接口，由AI直接处理，无需人工干预；

    二级：人工介入调查。中危事件，如多个账号协同攻击、疑似内部信息泄露，必须由专人复核，四十八小时内出具报告；

    三级：高层决策响应。高危情形，如大规模舆论风暴、核心系统遭渗透、资金账户异常变动，必须三人会议集体决议，三十分钟内启动反制。

    “每一级都要有明确的触发条件、责任人和时间节点。”我说，“不能再靠临场判断。”

    小陈快速整理成表格：“比如一级响应，QPS低于500且无敏感词，自动封IP+发警告；二级响应，涉及品牌关键词或连续三次以上异常，转人工；三级响应，出现‘诈骗’‘跑路’等致命词，或单日舆情量超百条，立即开会。”

    老李补充技术实现：“我可以给每个级别设定独立的告警通道，一级走系统消息，二级弹窗+短信，三级直接拨语音会议。”

    “全都录入知识库。”我说，“从今天起，我们不再靠脑子记流程，而是靠手册执行。”

    于是，《危机响应操作手册V1.0》正式立项。

    我们三人围在投影屏前，逐条确认内容：

    - 响应级别定义

    - 触发条件清单

    - 责任分工矩阵

    - 处理时限要求

    - 数据留存规范

    每一条都配上实际案例说明，全部来自今晚的演练记录。

    两个小时后，手册终稿生成。

    我把它上传到内部系统，设置每周自动提醒复盘更新。

    此时屏幕右下角显示：23:12。

    电量63%。

    小陈伸了个懒腰：“总算搞完了。”

    老李喝了口凉透的茶：“不过说实话，这一趟练下来，心里踏实多了。”

    “我也一样。”我说，“以前总觉得准备好了就行，现在才知道，准备是个动词，得天天练。”

    办公室重新安静下来。

    但气氛不一样了。

    不再是那种“等着被打”的紧张感，而是“就算打来了也知道怎么接”的掌控感。

    小陈正在更新追踪看板二期参数，加入了响应分级模块；老李在终端前做最后调试，确认沙盒水印加密功能已部署完毕；我坐在主位前，平板上显示着《危机响应操作手册V1.0》最终版，手指轻轻滑动页面，做最后一次校对。

    窗外城市灯火渐稀，空调外机滴水声规律地响着。

    桌上的泡面桶早已凉透，烟灰缸里堆满了烟头。

    没有人提下班。

    因为我们都知道，这场战斗没有终点。

    只有下一个演练日。