菜单
执行结构化的勒索软件事件响应，从初始检测到遏制、取证分析、解密评估、恢复和事后加固。 处理勒索谈判考量、备份完整性验证和法规通知要求。适用于勒索软件响应、 勒索软件恢复、加密勒索软件、数据加密攻击、赎金支付决策或勒索软件遏制等请求场景。
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill performing-ransomware-response命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
通过分析 Zeek dns.log 中的高熵子域名查询、超量查询量、超长查询长度以及异常 DNS 记录类型，检测 DNS 隧道和数据外泄中的隐蔽通道通信。适用于：当需要狩猎基于 DNS 的 C2 或数据外泄通道、调查异常 DNS 查询模式、或响应涉及 DNS 隧道工具（iodine、dnscat2、DNSExfiltrator）的威胁情报时使用。
实施 Google 的 BeyondCorp 零信任访问模型，通过 IAP、Access Context Manager 和 Chrome Enterprise Premium，消除网络边界的隐式信任，强制执行基于身份的访问控制，实现无 VPN 的安全应用访问。适用于将传统 VPN 替换为零信任架构、部署 Identity-Aware Proxy、配置设备信任策略、或为远程办公实施上下文感知访问控制时使用。
在授权的安全评估过程中，使用 Burp Suite 的扫描器、Intruder 和 Repeater 工具识别和验证跨站脚本（XSS）漏洞。适用于 Web 应用渗透测试中检测反射型、存储型和 DOM 型 XSS，验证自动化扫描器报告的 XSS 发现，以及评估 CSP 和 XSS 过滤器的有效性时使用。
基于 SOC 职业分类
正在显示 SKILL.md
| name | performing-ransomware-response |
| description | 执行结构化的勒索软件事件响应，从初始检测到遏制、取证分析、解密评估、恢复和事后加固。 处理勒索谈判考量、备份完整性验证和法规通知要求。适用于勒索软件响应、 勒索软件恢复、加密勒索软件、数据加密攻击、赎金支付决策或勒索软件遏制等请求场景。 |
| domain | cybersecurity |
| subdomain | incident-response |
| tags | ["ransomware","encryption-recovery","backup-restoration","ransom-negotiation","CISA-guidance"] |
| version | 1.0.0 |
| author | mahipal |
| license | Apache-2.0 |
不适用场景：不涉及文件加密或勒索的普通恶意软件事件；此类情况应使用恶意软件事件响应程序。
验证事件为勒索软件并确定变体：
勒索软件识别：
━━━━━━━━━━━━━━━━━━━━━━━━━
变体： LockBit 3.0 (Black)
扩展名： .lockbit3
勒索信： README-LOCKBIT.txt
Tor 站点： lockbit[已编辑].onion
部署方式： 通过 GPO 将 ransomware.exe 推送至所有域成员系统
初始访问： VPN 凭据攻陷（无 MFA）
驻留时间： 12 天
数据外泄： 是 - 加密前通过 rclone 上传 47GB 至 MEGA
在评估损害前停止勒索软件传播：
量化影响以支持恢复和业务决策：
影响评估：
加密系统： 187/340 端点（55%）
加密服务器： 12/28（43%）- 含 2 台文件服务器、1 台数据库服务器
域控制器： 3 台中 2 台已加密
备份状态： Veeam 存储库完整（离线副本已验证干净）
数据外泄： 已确认 - 47GB 已传至 MEGA（文件清单分析中）
赎金要求： 250 万美元比特币（72 小时截止）
OFAC 筛查： LockBit - 目前非受制裁实体（请与法律顾问核实）
与法律、高管层和网络保险协商评估恢复选项：
| 选项 | 优点 | 缺点 | 建议场景 |
|---|---|---|---|
| 从备份恢复 | 无需支付、无法律风险 | 恢复时间可能需要数天 | 可用干净备份时 |
| 免费解密器 | 无需支付、速度快 | 极少见 | 变体有已发布的解密器时 |
| 谈判并支付 | 可能更快 | 无保证、法律风险、资助威胁行为者 | 无备份、业务生死存亡时 |
| 从头重建 | 干净环境 | 时间最长、数据丢失 | 备份受损、可接受数据丢失时 |
实施所选恢复策略：
从备份恢复时：
使用解密器时：
实施控制措施防止再次发生：
| 术语 | 定义 |
|---|---|
| 双重勒索（Double Extortion） | 结合文件加密与数据外泄并威胁公开被盗数据的勒索软件策略 |
| 不可变备份（Immutable Backup） | 在规定保留期内无法修改或删除的备份存储，防止勒索软件针对备份 |
| OFAC 制裁 | 美国外国资产控制办公室的限制，可能禁止向受制裁实体或司法管辖区支付赎金 |
| 驻留时间（Dwell Time） | 攻击者在部署勒索软件前的存在天数；是确定哪些备份干净的关键依据 |
| 勒索软件即服务（RaaS） | 勒索软件开发者将恶意软件租赁给执行攻击的附属者的犯罪商业模式 |
| Rclone | 勒索软件运营者在加密前常用于数据外泄的合法云同步工具 |
| 3-2-1-1-0 备份规则 | 要求 3 份副本、2 种介质、1 份异地、1 份不可变/气隔离、0 个恢复测试错误的备份策略 |
背景：攻击者攻陷 VPN 凭据（无 MFA），用了 12 天进行侦察，通过 GPO 禁用防病毒软件，外泄了 47GB 数据，并在周日凌晨 2:00 通过 GPO 在整个域内部署了 LockBit 3.0。
方法：
注意事项：
勒索软件事件报告
===========================
事件： INC-2025-1892
勒索软件家族： LockBit 3.0 (Black)
检测时间： 2025-11-17T06:45:00Z
初始访问： VPN 凭据攻陷（无 MFA）
驻留时间： 12 天
影响摘要
加密系统： 187 个端点、12 台服务器
业务影响： 运营完全中断
外泄数据： 47GB（财务、HR、法律文件）
赎金要求： 250 万美元 BTC（72 小时截止）
备份状态： Veeam 不可变存储库 - 干净
恢复方案
决策： 从备份恢复（不支付赎金）
恢复开始： 2025-11-17T10:00:00Z
DC 重建： 完成 - 2025-11-17T18:00:00Z
关键系统： 已恢复 - 2025-11-18T12:00:00Z
完全恢复： 预计 2025-11-21
遏制时间线
06:45 UTC - SOC 分析员检测到勒索软件
07:00 UTC - 网络段已断开
07:15 UTC - 事件指挥官启动 IR 计划
07:30 UTC - 备份完整性验证开始
08:00 UTC - 对 2 台运行中系统启动内存取证
10:00 UTC - 在隔离环境中开始恢复操作
事后行动
1. 在所有 VPN 和远程访问上强制执行 MFA
2. 实施 3-2-1-1-0 备份架构
3. 工作站/服务器 VLAN 之间的网络分段
4. 为本地管理员密码部署 LAPS
5. 提交法规通知（GDPR 72 小时、州检察长）