勒索软件应急响应手册：从检测到恢复的72小时

勒索软件应急响应手册：从检测到恢复的72小时

勒索软件攻击的黄金响应窗口是前72小时。第0-4小时的行动决定了整个事件的走向：立即隔离受感染系统——物理断网（拔网线），不要关机（内存中的加密密钥和恶意进程信息可能在关机后丢失）。同时启动危机管理团队——这不仅是IT事件，需要法务、合规、公关和CEO的同步参与。

第4-24小时：保留证据（磁盘镜像+内存转储），确定入侵向量（通常是一封钓鱼邮件或一个未打补丁的VPN），评估加密范围和是否发生数据窃取（双重勒索现在是标准操作）。第24-72小时：不要支付赎金——FBI和ENISA的官方建议是不支付，支付不保证能恢复数据，且会进一步资助犯罪活动。恢复的唯一可靠路径是经过测试的离线备份——如果你的备份系统与生产网络在同一域中且没有不可变存储，备份本身也将被加密。