先还原时间线
时间线是调查的骨架。把登录、修改密码、绑定设备、导出数据、发送消息、创建 API key 等事件按时间排序。 所有时间统一到同一个时区，并保留原始日志截图或导出文件。没有时间线，后面的判断很容易被单个截图误导。
收集能够互相印证的信号
单个 IP 地址不能直接证明账号被盗，但 IP、UA、设备、地理位置、登录方式和异常操作叠加起来，就能形成较强判断。 如果某次登录来自新设备，随后立即修改邮箱并导出联系人，这比单纯异地登录风险高得多。
- 身份信号：账号、邮箱、手机号、登录方式、MFA 状态。
- 环境信号：IP、ASN、国家地区、User-Agent、设备指纹。
- 行为信号：密码修改、权限变更、批量导出、异常消息发送。
- 影响信号：涉及客户、数据范围、资金风险、业务中断时长。
报告要让非技术人员也能读懂
一份好的事件报告包括：结论、影响范围、证据摘要、详细时间线、根因分析、已完成处置和后续加固计划。 技术细节放在附录，正文先回答管理者最关心的问题：发生了什么、影响多大、现在是否已控制。
不要在报告里写“黑客入侵”这种泛化表述。更准确的写法是“账号在 2026-03-15 02:18 出现新设备登录，随后触发两项高风险操作”。
处置动作要能闭环
立即动作：冻结会话、重置密码、撤销 token、强制 MFA。
排查动作：检查转发规则、第三方授权、API key、自动化脚本。
恢复动作：通知受影响人员、回滚异常配置、补齐日志。
加固动作：设备信任、登录告警、权限最小化、定期审计。
事件处理完成后，要把这次调查沉淀成检测规则。下一次同类异常出现时，系统应该能自动提示，而不是重新靠人工回忆。