# 勒索软件响应要点与备份策略（蓝队应急+企业防护，标准化） > 核心原则：**响应优先止损；备份是抵御勒索的最后防线，没有离线隔离备份，勒索事件几乎无解** ## 一、勒索软件事件应急响应要点（发现感染后，按顺序执行） ### 阶段1：发现与隔离（第一时间，最重要，防止横向扩散） 1. **断开受害主机网络** - 物理拔网线优先；其次禁用网卡。不要只注销/关机（部分勒索在关机过程继续加密、外传数据） - 区分：如果怀疑存在数据泄露（双重勒索：加密+偷数据威胁曝光），**不要直接断电**，优先做内存取证、进程快照，再隔离。单纯加密无外传迹象，可直接隔离。 2. **禁止操作** ❌ 不要重启、不要运行磁盘检查chkdsk、不要打开加密文件、不要尝试随便找解密工具（很多解密工具会彻底破坏文件） ❌ 不要支付赎金：无法保证拿到解密密钥；会助长攻击者，大概率二次勒索 3. 标记资产：记录受害主机IP、主机名、感染时间、账户、进程、IOC（恶意哈希、C2IP、注册表、计划任务） ### 阶段2：取证与研判 1. 取证：内存镜像、系统日志、安全设备日志（EDR/SIEM/WAF/防火墙）、恶意样本 2. 溯源入侵入口： - 弱口令、RDP暴力破解、漏洞利用（Log4j、Exchange、Web组件漏洞）、钓鱼邮件、供应链 3. 确认范围： - 仅单台主机？还是文件服务器/共享盘/域控已被加密？ - 是否存在数据外泄（双重勒索） 4. 提取IOC：恶意文件哈希、C2地址、YARA特征，推送到EDR/SIEM全网狩猎，查找其他被感染机器 ### 阶段3：根除恶意，清理后门 1. 查杀恶意程序、删除持久化项（计划任务、服务、注册表、启动项） 2. 重置所有被攻陷账号密码，域环境重点重置域管理员账号 3. 检查横向移动痕迹：PsExec、WMI、SMB连接、票据窃取行为（Mimikatz） ### 阶段4：恢复（**必须确认威胁彻底清除后，才启动恢复**） 1. 从**离线备份**恢复文件，不要从被感染的在线存储恢复 2. 恢复顺序：核心业务优先，分步恢复，恢复一台验证一台，防止残留后门再次感染 3. 恢复后监测：观察异常外联、异常文件加密行为 ### 阶段5：复盘加固 - 修复入侵漏洞、加固RDP/远程管理、开启EDR、增加告警规则、更新备份策略 - 输出事件报告，更新应急预案 > 告警关键词（SIEM检测勒索） > 大量文件重命名（后缀变为 .lockbit/.conti/.maze）、大量文件修改、异常批量加密进程、主机外联恶意C2、影子副本被删除（vssadmin delete shadows） ## 二、勒索防护：备份策略（3-2-1备份原则，行业标准） **3-2-1 备份黄金法则** - **3份数据副本**：原始生产数据 + 2份备份 - **2种不同介质**：例如磁盘阵列 + 离线硬盘/磁带/对象存储 - **1份异地离线隔离副本（空气隔离/不可被生产环境直接写入）**，**这是对抗勒索最关键** ### 备份分类 1. **在线备份**（本地NAS、同机房存储） ✅ 恢复速度快 ❌ 风险：主机拿到权限后，勒索程序可访问网络共享盘，一并加密在线备份；**不能单独作为唯一备份** 2. **离线/空气隔离备份（离线硬盘、磁带）** ✅ 勒索病毒无法访问，最安全 ❌ 需要人工轮换，恢复慢，定期挂载校验 3. **不可变备份（对象存储WORM，一次写入不可删除修改）** 云对象存储WORM，备份数据写入后无法删除、覆盖；适合企业，攻击者就算拿到账号也删不掉备份 ### 备份实操要求 1. **备份自动轮换+定期离线脱离** 例如：每日增量、每周全量；每周把备份介质脱离网络，离线存放。 2. **定期备份校验（很多企业踩坑点：备份成功，但文件损坏无法恢复）** 每季度做**恢复演练**：随机抽取备份文件，测试是否能完整恢复。只做备份不校验=没有备份。 3. **权限最小化** 备份账号仅拥有备份写入权限，**不允许删除/修改备份文件**；生产主机账号不能操作删除备份。 4. **影子副本保护（Windows）** 勒索常用命令：`vssadmin delete shadows` 删除系统卷影副本，防止用户从快照恢复。 防护：限制普通账号执行vssadmin，EDR监控该命令告警。 ### 备份频率参考 - 核心业务数据库：增量备份每小时，全量每日/每周 - 文件服务器：每日增量，每周全量 - 离线副本：至少每周生成一次，脱离网络 ## 三、勒索高频防御加固清单 1. 远程管理：RDP、SSH、SMB不要直接暴露公网；使用VPN+IP白名单，强密码+MFA多因素认证 2. 终端：EDR/杀毒软件，禁止高权限日常办公，最小权限原则 3. 邮件：钓鱼过滤，拦截恶意附件、宏文档 4. SIEM告警：监控大量文件改名、vssadmin命令、异常批量文件操作、异常外联C2 5. 账号：域管理员不日常登录普通终端，启用MFA ## 四、常见误区 1. ❌ 只做本地在线NAS备份：勒索横向扫描网络共享，备份一起加密 2. ❌ 备份从不测试恢复：真正出事才发现备份损坏 3. ❌ 事件发生直接支付赎金：没有解密保障，还会被二次勒索 4. ❌ 感染后直接全盘格式化：丢失取证证据，无法溯源 ## 五、一句话速记 **感染先断网隔离，取证溯源清后门；321备份加离线，定期演练可恢复，不付赎金是底线。**