勒索软件防御与应急恢复

双重勒索：先窃取数据 → 再加密 → 威胁"不付就公开数据"
  加密可以被备份修复，但"数据已泄露"无法撤回

三重勒索：双重勒索 + DDoS 施压 + 骚扰客户/监管
  目的：扩大施压面，让组织更快妥协

应对含义：
  数据防泄漏（外传检测）与备份同等重要；
  不是"恢复就完事"，泄露面必须纳入应急。

典型路径：
  ① 扫描公网 3389 端口
  ② 弱口令字典 + 撞库尝试登录
  ③ 成功进入单机 → 提权 → 横向移动

对策清单：
  · RDP 不出公网，走 VPN/零信任代理
  · 强制 MFA，禁用本地管理员共享口令
  · 账户锁定策略 + 登录失败告警
  · 最小权限：日常账号无域管权限

# 反向代理 / 防火墙层：RDP 不出公网（示意）
# 只允许 VPN 网段访问内网 RDP
allow 10.0.0.0/8;          # VPN 内网段
deny all;

# 在 VPN 网关上强制二次认证（示意）
access_policy:
  - match: dst_port == 3389
    action: require_mfa
    mfa_method: push

· 弱口令与爆破是 RDP 被攻破的主因，配合账户锁定策略
· 高危环境可考虑"一次性密码 + 会话时长限制"
· 公网管理端口统一走零信任网关，杜绝直连

网络层：
  · 内网分段（按业务/部门/敏感区隔离）
  · 主机间默认拒绝，按需放行
  · 阻断 SMB 出网、封禁管理端口跨段

主机层：
  · 最小权限 + 本地管理员密码随机化（LAPS）
  · 禁止普通用户使用管理员权限运行
  · EDR 行为检测：异常横向命令即告警

身份层：
  · 敏感账号用 MFA + 条件访问
  · 域管账号专用工作站、双人复核

检测设计原则：
  ① 越早的阶段越好拦，加密阶段只剩"断网隔离"
  ② 行为检测（EDR/SIEM）比特征匹配更能发现新型变种
  ③ 加密行为多发生在"深夜/周末"，7x24 值守与自动化响应重要
  ④ 建立"勒索剧本"：触发即启动预案，而非靠人临场判断

示例检测规则（示意）：
  · 单主机 1 小时内批量修改 1000+ 文件 → 高可疑
  · 域内出现新计划任务且指向 SMB 共享 → 高可疑
  · 备份服务器出现非白名单进程 → 最高优先级告警

# SIEM 检测规则（示意，伪语法）
when:
  - event: process_start
    process.name: ["powershell.exe", "wmic.exe", "reg.exe"]
    command_line matches: "(ScheduledTasks|Win32_Process|/c .*\\.bat)"
  - window: 5 minutes
    count(host_actions) > 20
then:
  raise: "lateral_movement_suspect"
  priority: high
  auto_response: isolate_host

# 备份访问监控
when:
  - event: network_connection
    src.host in backup_subnet
    dst.host in business_subnet
    port == 445
  - window: 1 hour
    count > 50
then:
  raise: "backup_access_anomaly"
  priority: critical

勒索攻击者会先找备份：
  ① 删除/加密备份文件
  ② 篡改备份任务
  ③ 清空备份存储

对策：
  · 不可变存储：WORM/对象锁，备份期内不可改删
  · 离线/冷备：周期性断网备份，攻击者碰不到
  · 权限隔离：备份账号与生产账号分离，最小权限
  · 定期恢复演练：只备份不验证 = 没有备份

验证方式（示意）：
  每月随机抽取一个备份 → 在隔离环境完整恢复 → 验证可启动

不可变备份配置示例（对象存储层面）：
  · Bucket 版本控制开启，禁止 Delete
  · 对象锁 Retention 固定周期（如 14-30 天）
  · 备份写入账号与读取账号分离
  · 离线冷备：每周一次断开网络写入磁带/隔离存储

0-15 分钟：
  · 检测到批量文件修改/加密信号
  · 触发勒索剧本，成立应急小组
  · 受影响主机断网隔离，保留内存与日志现场

15-60 分钟：
  · 定位横向边界：哪些主机可能已被波及
  · 锁定域管/敏感账号，重置相关凭据
  · 备份服务暂停写入但保留，避免被二次清除

60 分钟+：
  · 评估备份可用性，进入恢复流程
  · 上报管理层与相关监管/执法
  · 取证保存（日志、样本、赎金票据）

恢复顺序建议：
  ① 业务关键系统（财务/客户/生产）
  ② 支撑系统（身份、网络、邮件）
  ③ 次要系统与历史数据

恢复注意：
  · 恢复前确认感染源头已隔离，否则会二次感染
  · 恢复后做完整性校验与安全加固
  · 对恢复主机先加固后上线（装 EDR、打补丁、改口令）

· 备份"有"但恢复不出来（权限/损坏/缺依赖）
· 找不到关键联系人 / 值班切换断档
· 剧本过时：新系统、新架构没纳入
· 决策链太长，错过黄金遏制窗口
· 演练发现的问题 → 明确整改责任人 → 限期闭环