响应：隔离机器

检测只有导致采取行动才有意义。本课程是关于您发现问题后的最初几分钟：应用程序连接到不应该连接的地方、Mac 行为异常，或者您信任的人发出警告您可能已成为攻击目标。这里的目标不是自己解决根本问题；而是要自己解决问题。这是为了阻止情况变得更糟，并保留获得真正帮助所需的东西。

先隔离，再调查

NIST 的计算机安全事件处理指南 (SP 800-61) 将遏制视为必须迅速做出的选择，并警告说，只要遏制被延迟，“攻击者就可能升级未经授权的访问或危害其他系统”。在一台 Mac 上，遏制意味着切断其网络访问：关闭 Wi-Fi、拔掉以太网线或打开飞行模式（如果可用），而不是在您思考时继续正常使用它。这本身并不能解决任何问题，但它会阻止与攻击者的持续连接，并阻止 Mac 被用于访问其他任何内容，例如同一网络上的另一台设备或您仍登录的帐户。

• 断开网络连接：Wi-Fi 关闭，以太网已拔出。这是最有用的第一个操作，因为它立即切断传入指令和传出数据。
• 除非有人帮助您，否则请勿关闭或重新启动 Mac。关闭电源可能会丢失内存中的信息，而这些信息本来可以帮助解释所发生的情况，并且可能会触发旨在通知关闭并掩盖其踪迹的有害软件。
• 在获得帮助之前，请勿卸载可疑应用程序、删除文件或“清理”。这很诱人，但它破坏了帮助者了解发生了什么情况所需的证据。
• 如果 Mac 用于工作，或者事件可能涉及其他人的数据，请立即告诉对此负责的人（雇主的 IT 或安全联系人、组织的安全主管），而不是在您自己调查之后。

简短地保存你能保存的东西

NIST 的指南建议记录“从检测到事件到最终解决所采取的每一步”，并加上时间戳，最好由技术工作人员以外的人记录。在一台 Mac 上，如果没有正式的团队，这可能很简单：写下或拍摄您所看到的内容和时间（应用程序、目的地、时间），记下您更改的任何内容（您是否断开了网络？您是否关闭了应用程序？），并保留您已经拍摄的所有屏幕截图。这正是上一课中的工具（例如每个应用程序的连接日志）在断开连接之前捕获的有用信息。

寻求帮助

联系谁取决于您是谁以及所面临的风险。对于大多数人来说，首先是管理该设备的人（如果该设备不是个人的（雇主、组织的 IT）），或者是值得信赖的、有技术能力的人（如果是个人）。对于记者、活动家、人权捍卫者和其他可能因其工作而成为攻击目标的人，有两个组织专门免费提供此类支持：

• Access Now 的数字安全帮助热线在经过审查程序确认其属于其职责范围后，以多种语言为认为自己面临风险或已经受到攻击的民间社会团体和个人提供快速响应帮助。
• 新闻自由基金会为记者和新闻编辑室提供数字安全培训和个性化建议，包括有关设备安全和来源保护的指导。

无论是组织还是本课程都不能保证任何一组步骤都能保证目标人员的安全；诚实的目标是降低风险并让知识渊博的人迅速参与进来，而不是消除风险。