菜单
规划并主持模拟勒索软件（Ransomware）事件的桌面推演，以测试组织的应急准备、决策能力和通信流程。基于当前勒索软件威胁行为者（LockBit、ALPHV/BlackCat、Cl0p）设计真实场景，涵盖双重勒索（Double Extortion）、备份销毁和法规通知要求等注入内容。依据 NIST CSF 和 CISA 指南评估参与者响应。适用于勒索软件桌面推演、事件响应演练或勒索软件应急准备演习等请求。
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill performing-ransomware-tabletop-exercise命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
通过分析 Zeek dns.log 中的高熵子域名查询、超量查询量、超长查询长度以及异常 DNS 记录类型，检测 DNS 隧道和数据外泄中的隐蔽通道通信。适用于：当需要狩猎基于 DNS 的 C2 或数据外泄通道、调查异常 DNS 查询模式、或响应涉及 DNS 隧道工具（iodine、dnscat2、DNSExfiltrator）的威胁情报时使用。
实施 Google 的 BeyondCorp 零信任访问模型，通过 IAP、Access Context Manager 和 Chrome Enterprise Premium，消除网络边界的隐式信任，强制执行基于身份的访问控制，实现无 VPN 的安全应用访问。适用于将传统 VPN 替换为零信任架构、部署 Identity-Aware Proxy、配置设备信任策略、或为远程办公实施上下文感知访问控制时使用。
在授权的安全评估过程中，使用 Burp Suite 的扫描器、Intruder 和 Repeater 工具识别和验证跨站脚本（XSS）漏洞。适用于 Web 应用渗透测试中检测反射型、存储型和 DOM 型 XSS，验证自动化扫描器报告的 XSS 发现，以及评估 CSP 和 XSS 过滤器的有效性时使用。
基于 SOC 职业分类
正在显示 SKILL.md
| name | performing-ransomware-tabletop-exercise |
| description | 规划并主持模拟勒索软件（Ransomware）事件的桌面推演，以测试组织的应急准备、决策能力和通信流程。基于当前勒索软件威胁行为者（LockBit、ALPHV/BlackCat、Cl0p）设计真实场景，涵盖双重勒索（Double Extortion）、备份销毁和法规通知要求等注入内容。依据 NIST CSF 和 CISA 指南评估参与者响应。适用于勒索软件桌面推演、事件响应演练或勒索软件应急准备演习等请求。 |
| domain | cybersecurity |
| subdomain | ransomware-defense |
| tags | ["ransomware","incident-response","tabletop-exercise","defense","preparedness"] |
| version | 1.0.0 |
| author | mahipal |
| license | Apache-2.0 |
不适用于技术控制测试。桌面推演（Tabletop Exercise）验证流程和决策，而非技术检测或预防能力。
基于当前威胁行为者 TTP 构建真实场景：
场景结构：
阶段 1：初始检测（30 分钟）
- SOC 收到文件服务器上可疑进程执行的告警
- EDR 在 3 台工作站上检测到 Cobalt Strike 信标
- 注入：外部威胁情报报告将 C2 IP 与 LockBit 附属机构关联
阶段 2：升级（30 分钟）
- 勒索软件在夜间对 40% 的服务器执行加密
- 勒索信要求在 72 小时期限内支付 200 万美元比特币
- 注入：攻击者联系媒体声称窃取了客户 PII 数据
阶段 3：决策点（45 分钟）
- 备份评估显示不可变副本完好，但主备份已被加密
- 法务就违规通知时间表提供建议（GDPR 72 小时，美国各州不同）
- 注入：威胁行为者在泄露站点上发布部分被盗数据样本
阶段 4：恢复与通信（45 分钟）
- 恢复时间估计：从不可变备份恢复需 5-7 天
- 保险公司介入并聘请谈判公司
- 注入：主要客户威胁称如未在 24 小时内收到更新将终止合同
需要自定义的场景变量：
为参与者创建以下文件：
需纳入的关键决策点：
主持人职责：
各阶段探究性问题：
阶段 1 - 检测：
阶段 2 - 升级：
阶段 3 - 决策：
阶段 4 - 恢复：
针对定义的标准对每个职能领域进行评分：
| 评估领域 | 评分（1-5） | 标准 |
|---|---|---|
| 检测与升级 | 及时宣布事件，正确的指挥链 | |
| 遏制 | 网络隔离、凭据重置、范围评估 | |
| 对内通信 | 员工通知、高管简报、决策记录 | |
| 对外通信 | 监管通知、客户沟通、媒体响应 | |
| 恢复规划 | 备份验证、恢复优先级、RTO 追踪 | |
| 法律与合规 | 违规通知时间表、证据保全、执法介入 | |
| 业务连续性 | 手工操作、客户影响缓解、收入损失估算 | |
| 支付决策 | 结构化框架、法律审查、OFAC 制裁检查 |
在 5 个工作日内制作事后分析报告（AAR）：
AAR 内容：
| 术语 | 定义 |
|---|---|
| 桌面推演（Tabletop Exercise, TTX） | 基于讨论的演练，参与者逐步演练模拟事件场景以测试计划和流程 |
| 注入（Inject） | 演练过程中引入的新信息，用于改变场景并迫使进行额外决策 |
| 态势报告（SITREP） | 在每个演练阶段提供模拟事件当前状态的情况报告 |
| 事后分析报告（After-Action Report, AAR） | 记录发现、差距、优势和整改行动的演练后文件 |
| 双重勒索（Double Extortion） | 勒索软件战术，攻击者同时加密数据并威胁公开被盗数据，除非支付赎金 |
| OFAC 检查（OFAC Check） | 验证赎金支付接收方不在美国财政部 OFAC 制裁名单上，否则支付将违法 |
场景背景：一家拥有 5 家医院的医疗系统开展年度勒索软件桌面推演。上次演练发现了 HIPAA 违规通知和临床系统恢复优先级方面的差距。本年度场景模拟针对 EMR 系统的双重勒索攻击。
方法：
常见陷阱：
## 勒索软件桌面推演 - 事后分析报告
**演练日期**: [日期]
**主持人**: [姓名]
**场景**: [简要描述]
**持续时间**: [小时数]
**参与者**: [按部门统计人数]
### 演练目标
1. [目标] - 已达成 / 部分达成 / 未达成
2. [目标] - 已达成 / 部分达成 / 未达成
### 关键决策日志
| 时间 | 决策点 | 已做决策 | 依据 | 评估 |
|------|--------|---------|------|------|
### 观察到的优势
1. [优势]
### 已识别的差距
| 差距 | 严重性 | 受影响领域 | 当前状态 | 期望状态 |
|------|--------|-----------|---------|---------|
### 整改行动
| 行动 | 责任人 | 截止日期 | 优先级 | 状态 |
|------|--------|---------|--------|------|
### 与往次演练比较
| 领域 | 上次评分 | 本次评分 | 趋势 |
|------|---------|---------|------|