隐私与升级路径
什么情况下停止自助排障并检查系统安全
安全异常优先于继续恢复页面可达性。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
当访问过程出现证书告警、未知文件、要求关闭保护、异常扩展、远程控制请求、未知配置或系统安全提示时，应停止自助排障，把设备完整性放在页面可达性之前。停止卡记录trigger、observed_text、observed_at、actions_not_taken、evidence_ref和escalation_role。用户关闭页面、不输入敏感资料、不安装内容，并保存脱敏告警；不要为了复现而再次触发文件或权限请求。
提示来源和风险类型无法确认时写UNKNOWN，也按安全优先处理。受管设备交给授权支持流程，个人设备由所有者使用系统内建安全状态核对。发现未知配置时不急于删除，以免破坏证据；先记录可见状态和时间。停止规则不认定现实页面恶意，也不替代专业事件响应，只限定普通访问恢复何时必须结束。状态机为每个事件保存severity_unknown、containment_state、owner_acknowledged、escalated_at和clearance_ref。触发后自动冻结与该环境关联的缓存、网络、登录和复现任务，防止另一个页面继续指引。紧急情况下可以先隐藏危险链接或动作，但visibility_event与事实判断分开，后续仍需完整审查。升级人员返回结论时，系统要求证据范围、核对时间和仍未解决项；口头说没问题不能解除。若已经发生输入或安装行为，普通编辑只记录最小事实并转安全响应，不提供自制清理步骤。季度演练检查深色模式、移动布局和读屏状态，确保停止提示不会被折叠或误按。
识别必须停止的安全触发器
触发器包括名称或信任告警、未知可执行内容、要求安装根证书或描述文件、关闭浏览器防护、授予屏幕控制或辅助权限、异常扩展提示、陌生远程协助以及操作系统安全警报。每类以可见文字和时间为证据。
页面加载失败、空白或超时本身不是安全事件，但若同时伴随上述迹象，安全分支覆盖普通排障。无法分类的强风险提示写unknown_security_signal。图标和营销文字不能证明文件或请求来源。
- 触发器基于可见安全迹象而非猜测
- 普通故障与安全事件分别建卡
- 无法分类的风险信号同样停止
立即冻结页面与高风险交互
触发后关闭相关页面，停止刷新、网络切换、缓存清理、登录、文件打开和权限授予。不要点击高级继续，不把未知内容转发给其他人。若文件正在传输，应使用系统安全方式中止，不打开文件验证。
actions_not_taken明确写未输入账号、未提供验证码、未安装配置、未开启远程控制。冻结环境不是断网或破坏系统，而是避免继续改变证据。若关闭页面本身可能丢失必要告警，先做最小脱敏截图。
- 停止后不再执行普通恢复或登录
- 未采取的高风险动作形成审计证据
- 留证只限于最小脱敏范围
保存不会扩大暴露的事件证据
证据包含匿名设备类别、系统和浏览器大版本、告警原文、脱敏主机、时间、文件类型提示与系统安全状态。查询、Cookie、令牌、完整IP、账户、序列号和个人通知全部删除。未知文件本身不上传。
截图使用扁平遮罩并裁掉其他窗口。控制台和网络日志只有在可安全脱敏且确实需要时才提供。无法判断字段敏感性就默认省略。最小证据足以说明看到什么与没有做什么，不需要猜测攻击路径。
- 事件证据不包含未知文件本体
- 敏感网络会话和个人字段全部剥离
- 报告只陈述观察不推断攻击者
区分受管设备和个人设备路径
设置显示由组织管理时，通过既有可信渠道联系管理员，不删除策略、扩展或证书。升级资料只问可核事项，例如某配置是否预期存在。不要把受管内容发给不明联系人或公开讨论区。
个人设备由所有者使用系统自带安全面板、更新状态和可信支持流程检查。若缺乏专业能力，保持停止并寻求合适人员，不安装自称修复的未知工具。两条路径都不允许为了页面可达性降低安全设置。
- 设备管理边界决定正确升级角色
- 受管策略不在自助流程中移除
- 个人设备不安装未知修复工具
处理可能已经发生的交互
若用户已经输入资料、打开文件或授权远程控制，记录事实与大致时间，不要求其在普通工单中重复敏感内容。立即升级适当安全响应，停止其他访问实验。已输入的秘密应通过其所属服务的正规安全流程处理。
不要自行承诺删除文件即可安全，也不要让用户继续打开以收集更多证据。系统变化未知时保持UNKNOWN。事件响应人员可能要求保留环境，普通编辑不擅自清理缓存、日志或配置。若用户已授予远程权限，记录权限类别与大致时间，不收集会话码，并立即使用可信渠道升级。若已输入秘密，只提示通过其所属服务的正规安全流程处理，不在工单重复。普通恢复任务保持冻结，直到安全角色明确给出范围化解除事件。
- 既有交互升级到合适安全响应流程
- 敏感值不在普通记录中再次收集
- 普通排障不破坏潜在事件证据
定义退出停止状态的严格条件
只有有权限角色核对触发器、系统状态恢复可解释、主机和证书重新验证且新观察无安全提示时，才能提出解除。解除通过新的clearance_event完成，引用证据范围和时间；旧停止卡永远保留。
某一告警消失或另一设备正常不足以解除。仍有UNKNOWN风险、来源不明配置或未处理权限时维持blocked。解除后也从最低影响只读观察重新开始，不直接恢复之前的高影响步骤。clearance_event需要授权角色、核对范围、新系统状态、证书安全结果和时间，并由状态机检查所有触发器。若用户已经安装内容或授予远程权限，解除页面停止不等于设备事件结束，两条流程分别跟踪。演练确认移动端、接口和任务队列不会因缓存延迟提前放行。
- 解除停止需要独立新证据和授权角色
- 跨设备正常不能替代本机安全核对
- 解除后重新从低影响观察起步
审核停止路线的完整与可访问性
合成演练覆盖证书提示、未知文件、异常扩展、远程请求、高权限弹窗、受管策略和已经交互七类。状态机应阻断所有普通恢复任务，并在页面、接口与导出中一致呈现。测试不使用现实文件。
读屏和键盘检查确保用户能快速找到关闭与升级说明，不依赖红色。内容扫描删除绕过、关闭保护和继续验证等危险建议。通过只说明安全停止机制可用，不对现实事件作恶意判断。演练还模拟用户已经输入资料、文件正在传输、远程权限已授予、设备受管但联系渠道未知和提示无法分类。每种情形都应生成不同升级信息，却共同冻结普通访问任务。解除流程在新证据缺失、授权角色不符或仍有UNKNOWN风险时必须拒绝。公开摘要只说观察、未采取动作和处理状态，不猜测攻击来源。
- 状态机在所有渠道一致阻断恢复动作
- 停止说明支持读屏和键盘访问
- 演练结论不映射现实风险定性且覆盖已交互受管设备未知渠道解除失败消费者同步延迟与普通任务意外解冻
