为什么要做加密范围统计
勒索事件的损失要用数字说话：按目录、扩展名与时间窗统计被加密文件的数量与体量，形成可复核的影响评估表，用来决定恢复优先级和上报口径。前提是加密行为已经被遏制，否则数字一直在变，任何结论都会立刻失效。
基本信息
| 统计维度 | 目录、扩展名、文件数、总大小、时间窗 |
|---|---|
| 常用方法 | find 配 -mmin 与 -printf，再交给 awk 聚合 |
| 输出形式 | 影响评估表（业务口径需业务方确认） |
| 前提条件 | 加密已止血，对象不再变化 |
| 注意 | 部分家族会改写 mtime，需结合多条线索 |
| 平台对应 | Linux 用 find；Windows 用 Get-ChildItem 递归统计 |
典型使用场景
- 事件确认后向管理层汇报影响范围
- 决定恢复顺序：先恢复哪些业务目录
- 判断是否存在未被加密的数据，可用于快速恢复
- 准备上报材料中的影响范围与损失口径
- 为保险理赔提供量化依据
- 收尾复盘时对比处置前后的变化
- 比较各主机的加密起点时间，推断横向传播的顺序
统计范围与体量
统计范围与体量
find /data -xdev -type f -mmin -720 -printf '%h\n' 2>/dev/null | sort | uniq -c | sort -rn | head -n 20 # 受影响最重的目录
find /data -xdev -type f -mmin -720 -printf '%s\n' 2>/dev/null | awk '{s+=$1} END {printf "total=%.2f GB\n", s/1073741824}'
find /data -xdev -type f -mmin -720 | awk -F. '{print $NF}' | sort | uniq -c | sort -rn | head # 按扩展名统计
find /data -xdev -type f \( -name '*.encrypted' -o -name '*.[0-9a-f][0-9a-f][0-9a-f][0-9a-f]' \) 2>/dev/null | wc -l # 家族特征扩展名计数统计维度与用途
| 维度 | 命令要点 | 用途 |
|---|---|---|
| 目录 | find -printf '%h' | 定位重灾区，决定恢复优先级 |
| 扩展名 | awk -F. 取末段 | 识别家族特征扩展名 |
| 文件数 | find 后 wc -l | 上报的基本量 |
| 总大小 | -printf '%s' 后求和 | 体量口径，换算成 GB |
| 时间窗 | -mmin 控制范围 | 与事件时间对齐，排除正常改动 |
多数加密程序会把 mtime 改成加密时刻，这让 -mmin 筛选很好用；但也有家族保留原时间戳，此时要用扩展名、文件头魔数与备份差异交叉判断。
对外的损失口径要与业务、法务统一：技术统计只提供原始依据，最终口径由业务与法务确认后再发布。
统计时先排除备份目录、缓存与临时目录（用 -xdev 限制在同一文件系统，配合 -path 排除）：否则数字里混进大量无关文件，评估结果会被高估。