知识卡片
用线索产出速度判断何时该收网
内容
决定什么时候该停止取证、转入补救阶段，没有一个精确的时间点，更像是判断什么时候该把爆米花从微波炉里拿出来——不是等到所有玉米粒都爆完，而是等到爆裂声的间隔明显拉长，再多等下去只会把已经爆好的部分烧焦。当新发现的线索越来越少、每一轮调查带来的增量信息越来越薄时，即便还有未知项没有查清楚，也该开始规划清退攻击者、恢复系统的行动了——继续无止境地等待”掌握全部真相”这件事本身也有代价。
参考来源
- 位置：《Google系统架构解密：构建安全可靠的系统》第17章《危机管理》17.2.6节调查过程（源文件：`../OREILY动物书合辑 图灵新版/_epub-src/text/part0014_split_137.html`）
- 结论依据：原文明确用微波炉爆米花做类比："做这个决定就像判断什么时候停止微波炉加热一袋爆米花一样：当爆米花发出声响的间隔明显增加时，应该在整袋爆米花被烧焦之前停止加热"，并说明"最终，发现新线索的速度会减慢。此时，IC就可以决定采取补救措施了"。
- 原始内容：最终，发现新线索的速度会减慢。此时，IC就可以决定采取补救措施了。你是否已经掌握了所有需要的情报？可能还没有……做这个决定就像判断什么时候停止微波炉加热一袋爆米花一样：当爆米花发出声响的间隔明显增加时，应该在整袋爆米花被烧焦之前停止加热。