用途：在隔离环境中验证勒索软件恢复计划是否真正可用，测量 RTO（恢复时间目标）与 RPO（恢复点目标）是否满足业务要求，测试备份还原后的数据完整性与完整性，并支持桌面推演、实况恢复演练及灾备合规审计。不适用于真实勒索攻击中的活跃事件响应，应改用专门的 IR 手册。
主要能力：按 Tier 1 至 Tier 4 划分关键系统与恢复目标；准备隔离恢复网络与备份目录；执行还原并测量从检测到服务恢复的完整时间线（T0 至 T4），计算实际 RTO 与 RPO；还原后校验文件数量、数据库一致性与关键文件哈希；测试凭据轮换与安全加固（服务账号密码、API 密钥、MFA、EDR/AV、防火墙 C2 规则、补丁）；输出恢复测试报告并计算与目标的差距。
使用方式：需具备隔离恢复测试环境（气隙或网络分段实验室）、备份基础设施访问（Veeam、Commvault、Rubrik、AWS Backup、Azure Backup 等）、按应用层级记录的 RTO/RPO 目标、可用于还原测试的备份副本及恢复运行手册。示例命令包括 ip route show、restic snapshots --repo s3:s3.amazonaws.com/backup-bucket --password-file /etc/restic/pw、pg_isready -h localhost -p 5432、sha256sum 等，均需按实际环境调整。
适用场景：灾备就绪审计、网络保险合规、季度恢复演练、恢复顺序验证。
限制与注意：不得在生产网络测试；还原完成不等于恢复完成，须计入验证与加固时间；需使用气隙或不可变备份，否则备份可能被加密或删除；应定期测试还原，避免恢复顺序错误和跳过凭据轮换。参考资料包括 NIST SP 800-184、CISA 勒索软件指南、Veeam RTO/RPO 最佳实践与 NIST CSF 2.0 RC.RP。