메뉴
规划并主持模拟勒索软件（Ransomware）事件的桌面推演，以测试组织的应急准备、决策能力和通信流程。基于当前勒索软件威胁行为者（LockBit、ALPHV/BlackCat、Cl0p）设计真实场景，涵盖双重勒索（Double Extortion）、备份销毁和法规通知要求等注入内容。依据 NIST CSF 和 CISA 指南评估参与者响应。适用于勒索软件桌面推演、事件响应演练或勒索软件应急准备演习等请求。
기본적으로 소스를 먼저 확인하는 Prompt가 선택됩니다. 직접 명령으로 전환하거나 로컬 사본을 다운로드할 수도 있습니다.
설치 여부를 결정하기 전에 SKILL.md와 SkillsMP에 표시된 보조 파일을 읽어 보세요.
Codex 또는 Claude로 설치 이 Prompt를 복사해 Codex, Claude 또는 다른 어시스턴트에 붙여 넣으면 Skill 페이지를 검토하고 설치를 진행할 수 있습니다.
직접 명령은 검토 Prompt를 거치지 않습니다. 실행하기 전에 소스를 확인하세요.
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill performing-ransomware-tabletop-exercise명령은 한 줄로 유지됩니다. 복사하기 전에 가로로 스크롤해 전체 내용을 확인하세요.
로컬 사본을 원하시나요? SkillsMP에서 현재 제공할 수 있는 파일을 다운로드하세요.
SOC 직업 분류 기준
SKILL.md 표시 중
| name | performing-ransomware-tabletop-exercise |
| description | 规划并主持模拟勒索软件（Ransomware）事件的桌面推演，以测试组织的应急准备、决策能力和通信流程。基于当前勒索软件威胁行为者（LockBit、ALPHV/BlackCat、Cl0p）设计真实场景，涵盖双重勒索（Double Extortion）、备份销毁和法规通知要求等注入内容。依据 NIST CSF 和 CISA 指南评估参与者响应。适用于勒索软件桌面推演、事件响应演练或勒索软件应急准备演习等请求。 |
| domain | cybersecurity |
| subdomain | ransomware-defense |
| tags | ["ransomware","incident-response","tabletop-exercise","defense","preparedness"] |
| version | 1.0.0 |
| author | mahipal |
| license | Apache-2.0 |
不适用于技术控制测试。桌面推演（Tabletop Exercise）验证流程和决策，而非技术检测或预防能力。
基于当前威胁行为者 TTP 构建真实场景：
场景结构：
阶段 1：初始检测（30 分钟）
- SOC 收到文件服务器上可疑进程执行的告警
- EDR 在 3 台工作站上检测到 Cobalt Strike 信标
- 注入：外部威胁情报报告将 C2 IP 与 LockBit 附属机构关联
阶段 2：升级（30 分钟）
- 勒索软件在夜间对 40% 的服务器执行加密
- 勒索信要求在 72 小时期限内支付 200 万美元比特币
- 注入：攻击者联系媒体声称窃取了客户 PII 数据
阶段 3：决策点（45 分钟）
- 备份评估显示不可变副本完好，但主备份已被加密
- 法务就违规通知时间表提供建议（GDPR 72 小时，美国各州不同）
- 注入：威胁行为者在泄露站点上发布部分被盗数据样本
阶段 4：恢复与通信（45 分钟）
- 恢复时间估计：从不可变备份恢复需 5-7 天
- 保险公司介入并聘请谈判公司
- 注入：主要客户威胁称如未在 24 小时内收到更新将终止合同
需要自定义的场景变量：
为参与者创建以下文件：
需纳入的关键决策点：
主持人职责：
各阶段探究性问题：
阶段 1 - 检测：
阶段 2 - 升级：
阶段 3 - 决策：
阶段 4 - 恢复：
针对定义的标准对每个职能领域进行评分：
| 评估领域 | 评分（1-5） | 标准 |
|---|---|---|
| 检测与升级 | 及时宣布事件，正确的指挥链 | |
| 遏制 | 网络隔离、凭据重置、范围评估 | |
| 对内通信 | 员工通知、高管简报、决策记录 | |
| 对外通信 | 监管通知、客户沟通、媒体响应 | |
| 恢复规划 | 备份验证、恢复优先级、RTO 追踪 | |
| 法律与合规 | 违规通知时间表、证据保全、执法介入 | |
| 业务连续性 | 手工操作、客户影响缓解、收入损失估算 | |
| 支付决策 | 结构化框架、法律审查、OFAC 制裁检查 |
在 5 个工作日内制作事后分析报告（AAR）：
AAR 内容：
| 术语 | 定义 |
|---|---|
| 桌面推演（Tabletop Exercise, TTX） | 基于讨论的演练，参与者逐步演练模拟事件场景以测试计划和流程 |
| 注入（Inject） | 演练过程中引入的新信息，用于改变场景并迫使进行额外决策 |
| 态势报告（SITREP） | 在每个演练阶段提供模拟事件当前状态的情况报告 |
| 事后分析报告（After-Action Report, AAR） | 记录发现、差距、优势和整改行动的演练后文件 |
| 双重勒索（Double Extortion） | 勒索软件战术，攻击者同时加密数据并威胁公开被盗数据，除非支付赎金 |
| OFAC 检查（OFAC Check） | 验证赎金支付接收方不在美国财政部 OFAC 制裁名单上，否则支付将违法 |
场景背景：一家拥有 5 家医院的医疗系统开展年度勒索软件桌面推演。上次演练发现了 HIPAA 违规通知和临床系统恢复优先级方面的差距。本年度场景模拟针对 EMR 系统的双重勒索攻击。
方法：
常见陷阱：
## 勒索软件桌面推演 - 事后分析报告
**演练日期**: [日期]
**主持人**: [姓名]
**场景**: [简要描述]
**持续时间**: [小时数]
**参与者**: [按部门统计人数]
### 演练目标
1. [目标] - 已达成 / 部分达成 / 未达成
2. [目标] - 已达成 / 部分达成 / 未达成
### 关键决策日志
| 时间 | 决策点 | 已做决策 | 依据 | 评估 |
|------|--------|---------|------|------|
### 观察到的优势
1. [优势]
### 已识别的差距
| 差距 | 严重性 | 受影响领域 | 当前状态 | 期望状态 |
|------|--------|-----------|---------|---------|
### 整改行动
| 行动 | 责任人 | 截止日期 | 优先级 | 状态 |
|------|--------|---------|--------|------|
### 与往次演练比较
| 领域 | 上次评分 | 本次评分 | 趋势 |
|------|---------|---------|------|