安全应急实战演练——3个环节最容易走过场

演练搞完，会议室里一片叫好，散会各回工位——这场景太常见了。安全应急实战演练真正值钱的地方从来不在演练当天，而在那几个没人愿意较真的环节上。这些年看下来，走过场几乎都集中在三处：脚本、参与的人、复盘。别急着反驳，往下看，多半能对上号。

安全应急实战演练最容易走过场的环节：脚本写成了剧本

大部分演练脚本是从模板改的，动作写得很细，细到有点像演戏：几点几分谁进机房、几点几分执行切换、几点几分确认恢复。问题在于，模板把所有的岔路都堵死了。

举个常见的：断电演练，脚本上一般就一行——确认备用电源启动成功。可真难的地方是备用电源启动要多久，这段时间业务怎么办，启动失败谁来拍板切换，切换之后要通知哪些人。这些全被省略了，因为写出来就露怯。

换个思路，脚本里应该故意留出空白，写清楚“本场景不提供以下信息”，让参与的人自己去问、去找。演练的难度不在动作复杂，而在于信息不全，这一点想通了，脚本的写法就变了。

第二个坑：参与者都在等指令

真实的故障现场没有导演。演练的时候大家习惯了等一句“现在开始处置”，然后照着做。可真出事的那几分钟，值班的人往往是懵的：他不知道自己有没有权限重启、有没有权限切流量、该找谁、找了没人回该怎么办。

想验证这一点，办法很土：只告诉值班的人一句“网站访问异常”，不给他原因，看他先查什么、多久想起来找人。中间别插话别提示，事后看时间线。能看出很多东西。

这类演练最容易暴露的其实是人身上的单点。某个人休假、某个群没人看、某个通知渠道早就不维护了——平时一点看不出来，一练就现形。还有一条，现场得安排人专门记录，不然复盘全靠回忆，各说各的，最后又变成一团和气。

第三个坑：复盘会开成了表扬会

“整体表现良好，流程顺畅，下次注意”——如果你听到这三句，这次演练基本白搞了。复盘要按时间线走：谁在什么时候做了什么，当时看到什么、判断依据是什么、卡在哪一步。

别怕问到细节。哪个命令敲不出来、哪个账号密码现在在谁手里、备用联系人的手机号是不是已经换了、面板入口还记不记得住。这些琐碎的东西，真正卡人的时候就是它们。

“下次注意”属于废话，得写成“下次由谁在多长时间内做什么”，有责任人、有时间点，才算落地。做不到这一步，复盘就是走个形式。

难度别一上来就拉满

见过一些团队第一次就搞全站级别的场景，结果一屋子人全懵，之后谁都不愿意再搞第二次，演练这事从此就断了。

更稳的做法是从单点开始：先跑通“发现—上报—处置—恢复”这条信息链，再一个环节一个环节加变量。范围小、影响可控，还能让每个人清楚自己在链条上的位置。

时间选择上也不复杂，别放在业务高峰，但不要提前把具体时间公布出去。给个“本周内某一天”的口径，比定死某天几点更管用，毕竟真出事也不会挑你方便的时候。

演练其实是在验证三张纸还在不在有效期

第一张，有没有一份看得懂的资产和联系人清单，谁负责哪块、怎么找到人；第二张，备用通道，主站打不开、内部群也炸了的时候，用什么方式通知用户和同事；第三张，授权表，写清楚谁有权决定停服、回滚、切流量。很多团队卡在第三张纸上，出事了没人敢拍板，就在那儿干等。

这三样东西是有有效期的。人员调动、手机号变更、账号口令轮换、服务商工单入口改版，都会让纸面上的方案失效。演练就是把它们翻出来，看看还能不能用。具体操作以服务商或官方页面说明为准，别照着两年前的截图硬做。

人手少的团队怎么练

一个人也能练。挑个空闲的晚上，自己模拟“服务器连不上”，把排查步骤从头走一遍，尽量不看笔记，看自己多久能找到关键信息。两三个人就互相提问，一个人问，其他人答，答不上来的地方就是漏洞。

还有个小习惯挺有用：把常用命令、路径、面板入口、工单地址整理成一份离线也能打开的文件。断网的时候云端笔记打不开，这事遇上一次就记住了。

几个细节，漏了就白练

记录要留档：时间、参与人、模拟场景、发现了什么问题、谁跟踪、什么时候跟完。没有责任人和时间点的整改项，等于没写。演练完也别急着把临时环境清干净，放一两天，有些问题事后才冒出来。

另外，如果演练会影响到外部，比如切换测试可能让部分访问变慢，提前知会一声比硬扛着强，省得自己人跟着慌。

说到底，演练不是做给谁看的，是给自己留后路。脚本、参与的人、复盘，这三个环节里任何一个当成流程走过，另外两个基本也跟着白搭。下次开练之前，先翻出上一轮的复盘记录，看看有几条是真改完了——改完再开新一轮，不然就是重复交学费。