用途：为 SOC 团队构建标准化的勒索软件应急响应手册，覆盖检测、遏制、根除、恢复和事后复盘，供 Tier 1-3 分析师使用；适用于缺少成文流程、桌面推演暴露协调缺口，或合规（NIST CSF、ISO 27001）要求文档化预案的场景。注意：不要在真实勒索事件进行中把它当作唯一指南，应事先构建并演练。
前提：具备带端点与网络数据的 SIEM（Splunk ES、Elastic Security 或 Sentinel）；具备支持网络隔离的 EDR（CrowdStrike、SentinelOne 或 Microsoft Defender for Endpoint）；具备经过测试恢复流程和离线/不可变备份的备份设施；具备法务、高管和外部 IR 保留联系人的沟通计划；了解 MITRE ATT&CK 勒索技术链。
主要能力：
- 定义检测触发条件，给出针对大规模文件加密、影子副本删除（T1490）、勒索信文件创建的 Splunk 与 Elastic EQL 检测示例；
- 构建分诊决策树，按是否正在加密、受影响主机数量、是否确认数据外泄分级处置；
- 遏制流程，含通过 CrowdStrike Falcon API、Microsoft Defender for Endpoint API 隔离主机，Palo Alto 阻断 SMB 横向扩散防火墙规则，以及 AD 应急操作（禁用账户、重置 krbtgt、停用远程服务）；
- 证据收集与保全，采集进程、网络连接、内存转储、勒索笔记与加密样本、事件日志；
- 根除与恢复，识别勒索变种、企业级 IOC 扫描、从备份恢复并监控 72 小时；
- 事后文档，含时间线、初始访问向量、驻留时间、检测缺口、MTTD/MTTC/MTTR 等指标模板。
使用方式：按步骤部署检测规则、建立分诊与遏制流程，并在事件后按模板复盘更新手册。关键概念包括双重勒索、驻留时间、MTTC、杀伤链、不可变备份、RTO/RPO。
限制：手册是预案而非实时处置的唯一依据；实际命令、API 令牌与阈值需按环境调整；文中未提供具体收费、平台价格或效果保证。