用途：构建或调优针对勒索软件的行为检测层，捕捉未知/零日变种；监控文件服务器与端点的大规模加密活动；用熵分析识别文件被替换为高熵加密内容；分析可疑进程的快速顺序文件打开、写入、重命名与删除行为；在红队演练中验证EDR检测规则。
主要能力：
- 熵基检测。用Shannon熵评估字节数据（0.0-8.0），文本类文件加密后熵从2-5跃升至7.8-8.0，最易识别；JPEG、ZIP等本身高熵，难以区分。
- I/O行为签名：单进程每分钟修改超20个文件；扩展名批量变更（如report.docx变为report.docx.locked）；在各目录创建相同勒索说明文件；删除卷影副本（vssadmin.exe delete shadows /all /quiet等）；文件读写熵差超过3.0。
- 行为评分：综合文件修改速率、熵增量、扩展名变更、勒索说明创建，输出0-100分。
- 自动化响应阈值：0-25仅记录；25-50告警SOC；50-75告警并挂起进程、快照VM；75-100终止进程、隔离端点、通知IR团队。可挂起/终止加密进程、禁用网卡、创建卷影快照、抓取内存转储、发送SIEM告警。
使用方式：需Python 3.8+及watchdog、psutil，管理员权限；Windows安装Sysmon，Linux配置auditd或inotify；先建立常见文件类型的熵基线，再实现实时监控与I/O跟踪、行为评分，最后配置响应阈值。测试需在隔离沙箱中进行。
限制：不得单独依赖熵分析，压缩文件天然高熵会造成误报，必须结合I/O速率与重命名行为。高级勒索软件可能用Base64编码或部分加密规避熵检测。其他环境与部署细节暂未提供。