隔离受感染主机和恢复业务，在WPDRRC中属于同一环节吗？

正确答案 B

感染已经被确认，隔离和报告是在对事件采取处置措施，属于响应；后面把数据和业务带回正常状态，属于恢复。题目不是问有没有发现异常，而是问发现之后的两组动作，所以选B。

这类题最有用的区分是“控制事态”和“恢复服务”。同样是操作设备，隔离是在限制事件影响，恢复备份是在重建正常服务。不要把所有事件发生后的工作都笼统叫响应，也不要因为隔离能阻止进一步损害，就忽略题目正在考模型中的事件处置环节。实际处置可以反复检测、响应和恢复，不是每个环节只能执行一次；题干的先后只是帮助描述场景，真正的分类依据仍是动作的主要目的。

选项分析

A

第一组不是查找是否感染，而是已确认后的隔离与报告；第二组明确恢复数据和业务，不能只归为响应。

B

隔离、报告对应响应中的处置能力，恢复数据并验证可用对应恢复正常，两组动作的目标均匹配。

C

既没有把第一组准确归入事后响应，也把第二组恢复正常服务误当成发现威胁，混淆了动作目的。

D

隔离主机不等于使业务恢复正常；备份恢复也不是提取作案证据，两组均与所列环节不符。

再巩固一步

• 四个动词串起来：发现异常是检测，处置事件是响应，恢复正常是恢复，取证依法处理看反击。