用途
本技能用于构建和更新组织的勒索软件事件响应手册，使响应流程与 CISA StopRansomware 指南及 NIST 网络安全框架（Identify、Protect、Detect、Respond、Recover）保持一致。适用情形包括：组织需要按 CISA 指南创建或更新勒索软件响应手册；安全团队依据 CISA StopRansomware 框架开展勒索就绪度评估；合规要求记录与 NIST CSF 及 CISA 建议对齐的勒索响应程序；通过桌面演练验证组织勒索响应步骤是否符合行业最佳实践；勒索事件后依据经验教训更新手册并弥补已识别缺口。
注意：该技能不能替代关于赎金支付决策、违规通知时限或特定司法管辖区监管义务的法律意见。
前置条件
- 熟悉 CISA StopRansomware Guide（cisa.gov/stopransomware/ransomware-guide）
- 理解 NIST 网络安全框架（CSF）的 Identify、Protect、Detect、Respond、Recover 结构
- 具备关键资产、备份基础设施和通信渠道的清单
- 明确事件响应团队成员的职责分工
- Python 3.8+，用于手册生成与合规检查自动化
- 可访问组织的资产清单与备份配置文档
主要能力与工作流程
第 1 步：准备阶段（CISA 第 1 部分——预防）
在事件发生前建立针对勒索软件的防御。CISA 准备清单包括：维护经过恢复测试的离线加密备份；创建并演练网络事件响应计划（IRP）；在 IT 与 OT 网络之间实施网络分段；对所有远程访问和特权账户启用 MFA；在所有终端部署端点检测与响应（EDR）；禁用或限制 RDP，远程访问要求 VPN；维护软件/硬件资产清单；对面向互联网的系统在 48 小时内打补丁；配置邮件过滤并默认禁用宏执行；定期开展钓鱼意识培训；实施应用白名单（AppLocker/WDAC）；每季度测试备份恢复并记录 RTO/RPO。
第 2 步：检测与分析阶段
识别勒索软件指标并评估范围。检测指标包括：大量文件重命名并带新扩展名（.locked、.encrypted）；目录中出现勒索说明（README.txt、DECRYPT.html）；卷影副本删除（vssadmin delete shadows）；加密进程导致异常 CPU 占用；EDR/AV 对已知勒索签名的告警；与已知 C2 基础设施的网络连接；通过 SMB 或 PsExec 的异常横向移动；Sysmon 事件 ID 11（文件创建）激增。
CISA 初步分析步骤：对受影响设备进行系统镜像和内存捕获；识别零号病人与初始访问途径；确定勒索软件家族（使用 ID Ransomware、勒索说明分析）；评估加密范围（哪些系统、共享和数据受影响）；检查是否发生数据外泄（双重勒索指标）。
第 3 步：遏制阶段
阻止扩散并保存证据。前 1–4 小时的即时遏制：将受影响系统与网络隔离（禁用网卡、VLAN 隔离）；若无法断开则关闭受影响系统；禁用共享驱动器以防加密扩散；重置受影响账户凭据（尤其是管理员/服务账户）；在防火墙/代理屏蔽已知勒索 IOC（C2 域名、IP）；保存取证证据（内存转储、磁盘镜像、日志）；联系法律顾问并在数据外泄时准备违规通知。
扩展遏制：识别并修补初始访问途径（钓鱼、RDP、VPN 漏洞）；审计所有 Active Directory 账户以排查持久化（计划任务、服务）；检查除勒索载荷外是否存在后门或额外恶意软件。
第 4 步：清除与恢复阶段
移除威胁并恢复运营。CISA 恢复步骤：从已知干净镜像重建受影响系统（不要原地解密）；从离线备份恢复数据（先验证备份完整性）；重置所有密码，包括服务账户、krbtgt（两次，间隔 12 小时）；在重新接入网络前用更新后的 AV/EDR 扫描已恢复系统；按业务关键性优先级重新启用服务；对恢复系统进行 72 小时密集监控以防再次感染。
恢复优先级矩阵：P1（0–4 小时）域控制器、DNS、身份验证基础设施；P2（4–24 小时）邮件、关键业务应用、数据库；P3（1–3 天）文件服务器、部门应用；P4（3–7 天）非关键系统、开发环境。
第 5 步：事后活动
记录经验教训并改进防御。事后报告模板包括：执行摘要（发生了什么、影响、解决情况）；时间线（从检测到完全恢复，带时间戳）；根因分析（初始访问途径与传播路径）；范围（系统数量、数据量、以小时/美元计的业务影响）；响应有效性（哪些有效、哪些失败、缺失什么）；建议（具体技术与流程改进）；合规行动（通知时间线、满足的监管义务）；更新后的手册（基于经验教训的修订）。
使用方式
按上述五个阶段组织手册内容，将 CISA 准备清单作为预防部分的基础，把检测指标、遏制步骤、恢复步骤与优先级矩阵、事后报告模板逐一纳入文档，并使用 Python 3.8+ 进行手册生成与合规检查自动化。
验证
对照 CISA StopRansomware 清单条目验证手册完整性；与所有相关方使用手册开展桌面演练；验证备份恢复程序能在记录的 RTO 目标内工作；测试包括带外渠道在内的通信计划；确认法律与监管通知程序是最新的；至少每年或在任何事件后审查并更新手册。
关键概念
- CISA StopRansomware Guide：由 CISA/MS-ISAC/NSA/FBI 联合发布的指南，提供勒索软件预防最佳实践与响应清单。
- RTO/RPO：恢复时间目标（最大停机时间）与恢复点目标（最大数据丢失），备份规划的关键指标。
- Double Extortion（双重勒索）：攻击者既加密数据又威胁公开窃取数据以索取赎金的策略。
- Patient Zero（零号病人）：事件中首个被攻陷的系统，识别它可揭示初始访问途径。
- Tabletop Exercise（桌面演练）：响应团队在不使用实际系统的情况下走查的模拟事件场景，用于验证手册。
工具与系统
- CISA StopRansomware Guide：勒索响应规划与预防的主要框架。
- NIST CSF：提供 Identify/Protect/Detect/Respond/Recover 结构的网络安全框架。
- ID Ransomware：从加密文件和勒索说明识别勒索软件家族的服务。
- MITRE ATT&CK：将勒索 TTP 映射到检测机会的技术框架。
- Velociraptor：端点可见性工具，用于事件期间的快速分诊和取证工件收集。
限制
该技能不能替代关于赎金支付决策、违规通知时限或特定司法管辖区监管义务的法律意见。其他未在资料中提供的功能、价格、平台或效果信息暂未提供。