用途：在检测到勒索软件执行、文件被加密、发现勒索信或EDR告警大规模文件修改时，按结构化流程完成从检测到恢复的响应。不适用于不涉及文件加密或勒索的普通恶意软件事件。
主要能力：识别勒索软件变体（分析勒索信文件名、加密扩展名与内容，可上传至ID Ransomware，查询NoMoreRansom.org免费解密器）；确定部署方式与勒索组织；立即遏制传播（断开网段、隔离域控、禁用被利用账户、阻断SMB/RDP/WinRM）；评估影响范围与备份完整性、排查数据外泄、核对OFAC制裁名单；在备份恢复、免费解密器、谈判付款、重建之间做恢复决策；执行恢复（先重建域控、重置全部密码、按优先级恢复、重装工作站）；事后加固（MFA、3-2-1-1-0备份、应用白名单、网络分段、LAPS等）。
使用方式：按六步工作流执行，输出勒索软件事件报告，包含影响摘要、恢复方案、遏制时间线与事后行动。
限制：需预先具备经批准的响应手册、离线备份、事件响应保留方、法律顾问与网络保险信息；加密系统应保持开机以保留内存密钥，不应关机；恢复时不得使用驻留期内的备份；付款前须做OFAC筛查与法律审查。具体命令与工具配置资料未提供。