加密进行中的止损顺序
勒索事件的止损顺序与常规入侵不同：第一位是阻断横向移动与回连，第二位是判断加密是否仍在进行，第三位才是在「关机保住剩余文件」与「保留内存用于取证」之间做取舍。顺序颠倒会直接造成损失扩大——例如先关机却发现备份也不可用，或者先分析却发现共享目录还在被加密。每一步动作都要先记录时间与理由，因为这直接关系到事后向管理层与监管说明处置是否及时。
基本信息
| 第一步 | 网络隔离：断开共享、封禁横向端口、切断回连，阻止继续加密与扩散 |
|---|---|
| 第二步 | 判断加密状态：连续观察文件 mtime 是否仍在更新 |
| 第三步 | 关机取舍：加密已完成可关机；加密中或需要内存取证时要谨慎 |
| 第四步 | 保护备份：确认备份可用并立即断开备份系统与生产网的信任关系 |
| 第五步 | 记录与通报：每步动作、时间、执行人写入处置记录并同步决策人 |
| 配套动作 | 禁用被用于横向的域账号、重置高权限凭据，防止攻击者换路径 |
典型使用场景
- 文件服务器上发现批量加密，先在共享层阻断再逐台处理
- 虚拟化环境中一台机器被加密，判断是否需要暂停整个集群的写操作
- 域环境下怀疑攻击者用域管理员账号横推，优先处理凭据而不是单台主机
- 备份系统与生产网络直连时，先断开连接再评估备份完整性
- 估算恢复时间时判断是走备份恢复还是需要专业解密支持
确认加密活动与连接
确认加密活动与连接
date -u; hostname # 时间与身份
find /data -xdev -type f -mmin -5 | head -n 20 # 近五分钟仍在被改动的文件
sleep 60; find /data -xdev -type f -mmin -1 | wc -l # 隔一分钟再采一次，判断是否仍在加密
ps auxwwf --sort=-%cpu | head -n 20 # 是否有高 CPU 的加密进程
ss -antp | grep -E 'ESTAB' | head -n 20 # 是否存在回连
mount | grep -E 'nfs|cifs|smb' # 挂载了哪些网络共享止损动作与取舍
| 动作 | 作用 | 代价与注意 |
|---|---|---|
| 断开共享与网络盘 | 阻止加密扩散到文件服务器 | 业务系统会立即报错，需同步通知业务方 |
| 主机网络隔离 | 切断回连与横向 | 远程会话中断，优先用防火墙策略 |
| 内存采集后再关机 | 保住密钥、载荷与连接证据 | 需要提前准备采集工具与足够磁盘空间 |
| 直接关机 | 立即停止加密 | 内存证据全失，且无法继续观察攻击者行为 |
| 重置高权限凭据 | 切断攻击者复用凭据的路径 | 影响面大，需与业务确认执行窗口 |
| 校验备份可用性 | 决定恢复方案 | 不要在受感染主机上执行恢复写回操作 |
关机是最容易后悔的动作：勒索软件的密钥材料、未落地的载荷、加密进程参数都在内存里，关机即永久丢失。条件允许时先做内存采集，再决定关机与保持在线。
备份是恢复方案的唯一支点，要立刻核三件事：备份是否存在、最近一次成功是什么时候、备份数据是否也被加密或删除。很多勒索团伙会先删卷影副本与备份，再看能不能恢复。
止损记录模板建议固定四列：时间（UTC）、动作、执行人、判定依据。事后无论复盘还是对接保险与监管，这张表都是第一手材料。