说到应急响应，都是根据已知的问题来进行应急处理的。全面的应急响应无法在第一时间确定，从而进行已知的事件处理，是作为第一步的开始。
那么在第一时间确认安全事件，根据安全事件是否需要断网。进行数据方盒处理，启用网络数据分解装载转输，在一定时间内，保留有价值的镜头（不是摄像头）。从而更好的了解整个安全事件还原处理。
1.进程/用户/端口/密码/日志/启动项/服务项/计划任务/注册表/其他
0.01 tasklist命令
tasklist 查看本机进程 这里主要看的就是一个内存的使用率
0.02 PID找到程序进程 我们可以根据PID找到异常进程 关闭或者找到绝对路径
C:\Users\Administrator>wmic process where processid=68 get processid,executablepath,name
ExecutablePath Name ProcessId
C:\Windows\system32\cmd.exe cmd.exe 68
68就是PID数字
也可以查看端口知晓PID
C:\Users\Administrator>netstat -nao | findstr 443
最后一列就是PID
0.03 *死进程
可以直接狙击进程
C:\Users\Administrator>taskkill /PID 6464 /F
或者
ntsd -c q -p 6464
wmic process where name="cmd.exe" delete
wmic process where processid=6464 call terminate
*死进程的方法有很多
