赎金决策是谁的事
是否支付赎金是管理决策而不是技术判断：它牵涉合规上报义务、网络安全险条款、二次敲诈风险与业务恢复时限。技术团队的职责是把证据备齐、把可恢复路径验证到位，用可量化的时间与影响数据支撑决策层判断，而不是替他们下结论。
基本信息
| 决策主体 | 管理层与法务合规主导，技术团队提供依据 |
|---|---|
| 合规 | 按所属行业与属地要求评估上报义务与时限 |
| 保险 | 联系网络安全险渠道，按其要求固定证据与材料 |
| 公开解密 | 先在公开解密工具库核对家族与可用工具 |
| 风险 | 付款不保证解密，还可能招致二次敲诈 |
| 技术准备 | 验证最近可用备份点与实际恢复耗时 |
典型使用场景
- 确认勒索家族后，评估是否存在可用的公开解密工具
- 管理层要求给出「能否恢复、需要多久」的量化依据
- 保险报案前准备证据与材料清单
- 制定赎金议题的对外沟通口径：谁发言、说什么、不说什么
- 桌面演练中设计赎金决策环节，暴露流程盲区
- 事件收尾时复盘「为什么会走到决策点」并形成改进项
保全勒索信与家族线索
保全勒索信与家族线索
ls -la /evidence/ransom_note* 2>/dev/null # 勒索信原件是否留存
sha256sum /evidence/ransom_note* 2>/dev/null # 固定哈希
strings /evidence/ransom_note.txt 2>/dev/null | head -n 20 # 提取可读线索
grep -aE '[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+' /evidence/ransom_note.txt 2>/dev/null | head # 联系邮箱等线索
find /data -maxdepth 2 -type f -name '*.hta' -o -name '*README*' 2>/dev/null | head # 附带说明文件决策要素与技术输入
| 决策要素 | 技术侧输入 | 需要确认 |
|---|---|---|
| 加密范围 | 受影响主机与目录清单 | 是否仍在扩散 |
| 备份可用性 | 最近备份点与恢复耗时 | 此前是否做过恢复演练 |
| 家族与解密 | 勒索信、扩展名、样本哈希 | 公开工具是否适配该版本 |
| 合规上报 | 时间线与影响范围 | 上报时限与披露范围 |
| 保险理赔 | 证据清单与固定时间 | 条款要求是否已满足 |
家族判定要交叉多条线索：勒索信文本、加密后扩展名、样本哈希、附带说明文件。单一特征容易判断错版本，进而选错解密工具、白等一场。
付款前应由具备资质的团队评估解密可行性；技术团队不要单独对「能不能解密」下结论，这类承诺超出技术团队的能力边界。