本部分聚焦检测与响应：以勒索行为检测用例库、威胁狩猎与"黄金一小时"应急SOP为核心，给出从发现、遏制、根除到通报、取证与危机沟通的完整响应链路。
勒索软件从初始入侵到全面加密存在时间窗口——窗口内发现，损失可以小一个数量级。检测体系的使命，是在"文件被加密之前"识别攻击者的足迹。
没有日志就没有检测。勒索防御至少要求以下日志源接入 SIEM 平台，并保证时间同步（NTP）与留存周期（建议不少于 180 天，满足取证与合规要求[22]）：
以下用例针对勒索攻击链的标志性行为（TTP），以 MITRE ATT&CK 编号对齐[17]，可直接转化为 SIEM 规则或狩猎假设：
| 检测场景 | 数据源 | 检测思路（示例） | ATT&CK |
|---|---|---|---|
| 卷影副本被删除 | 进程/命令行审计、EDR | 命令行命中 vssadmin delete shadows /all /quiet、wmic shadowcopy delete、bcdedit 关闭恢复 | T1490 |
| 加密风暴 | EDR、文件审计 | 单主机单位时间内文件重命名/写入量异常激增；高熵写入（疑似加密）特征 | T1486 |
| 批量分发执行 | EDR、网络、AD | PsExec 服务批量安装、wmic /node 远程创建进程、admin$ 写入后远程服务创建 | T1569.002 / T1047 |
| 异常特权操作 | AD 日志 | 短时间批量账号加入特权组；异常目录复制（DCSync）行为；敏感 ACL 变更 | T1078 / T1003.006 |
| 备份被破坏 | 备份平台日志 | 备份作业异常中断；备份代理被卸载；备份删除/保留策略变更；备份管理控制台异常登录 | T1490 |
| 数据外泄迹象 | DLP、出口流量、DNS | 连接已知 DLS/C2 基础设施；异常大流量外传、非常规端口外联、云存储批量上传 | T1567 / T1071 |
| 诱饵文件被触碰 | 蜜罐/诱饵系统 | canary 文件（诱饵文档/凭据）被读取、重命名或加密——加密前兆的高置信信号 | T1486（前兆） |
| 票据异常 | AD / 身份平台 | 异常 Kerberos 黄金/白银票据特征；服务账户交互式登录 | T1558.001 |
| RDP/SSH 暴破 | AD / VPN / 边界设备日志 | 单账号高频失败登录后成功；非常规来源地登录成功；登录后立即出现批量网络连接 | T1110 / T1078 |
| 凭据转储 | EDR、Sysmon | LSASS 内存被读取（Mimikatz 或 comsvcs.dll MiniDump）、NTDS.dit 异常访问、DCSync 复制行为 | T1003.001 / T1003.006 |
| 持久化落地 | EDR、Sysmon、注册表审计 | 异常新增服务（随机名）、计划任务、Run 启动项、WMI 事件订阅；登录脚本与 GPO 异常变更 | T1543 / T1053 / T1547 |
基于"用户—实体"行为基线识别偏离：非工作时间批量访问文件服务器、异常地点登录、权限使用模式突变等"低频高危"信号。
在关键分区部署蜜罐主机、蜜罐共享与诱饵凭据/文件；正常业务绝不应触碰它们，因此其告警天然高置信、低误报。
假设驱动的主动搜寻（见下）。狩猎是"检验检测体系盲区"的最佳方式，发现应反哺规则与基线。
狩猎假设示例：
建立"IOC（失陷指标）+ TTP（战术技术）双层情报"消费机制：IOC 用于快速封堵已知恶意基础设施，TTP 用于更新检测逻辑与狩猎假设。对外参与权威情报共享——国际上可参考 CISA 的自动化指标共享等机制[8]；国内应关注 CNCERT（国家互联网应急中心）通报[36]、CNVD/CNNVD 公告，并接入所处行业的主管部门预警渠道。注意：情报价值取决于"与自身资产的可关联性"，务必建立情报—资产的自动匹配流程。
应急响应质量直接决定损失规模。Solar 团队数百起实战处置经验表明：勒索攻击发生初期的处置动作决定损失大小，第一小时的正确响应是遏制灾难的关键窗口。[31]
组织应在总体应急预案之下设立勒索软件专项预案，明确：触发条件与升级路径、指挥体系与授权（含"先隔离后汇报"的预授权）、技术处置 SOP、沟通模板、外部资源清单（应急服务商、取证机构、保险公司、监管联系人）。响应分级参照《国家网络安全事件应急预案》的四级框架（特别重大、重大、较大、一般）执行[26]，事件类别与级别研判依据 GB/T 20986-2023《信息安全技术 网络安全事件分类分级指南》[23]；报告义务与《国家网络安全事件报告管理办法》衔接：发生较大及以上网络安全事件时，涉及关键信息基础设施的，运营者应当第一时间、最迟不超过 1 小时向保护工作部门和公安机关报告；中央和国家机关及其直属单位最迟 2 小时内报告本部门网信工作机构；其他运营者最迟 4 小时内报告属地省级网信部门[25]。预案应每年至少演练一次，演练本身也是制度合规要求。
实战依据：Solar 安全应急响应团队《勒索软件威胁态势与防护实践年度报告（2025）》之"黄金一小时"应急响应手册与真实攻击链路复盘。[31]
"要不要付赎金"不是技术问题，而是集法律、财务、声誉与伦理于一体的治理决策。它必须事前有原则、事中有授权、事后有复盘。
CISA、FBI 等机构的《#StopRansomware 指南》明确不建议支付赎金：支付并不保证获得有效解密密钥或数据被真正删除，反而资助犯罪生态、招致重复勒索与监管关注[6]。对涉美业务的组织，还需关注美国财政部 OFAC 的合规提示：向受制裁主体支付赎金可能产生制裁风险， facilitation（协助支付）的第三方同样暴露于合规风险之下[34]。从纯经济视角，"不可变备份 + 解密工具优先 + 业务连续性预案"的组合，几乎在所有场景下都优于支付赎金的期望值。
全员通报事件与防范要求（如强制改密、禁用共享），杜绝谣言；明确对外统一出口。
按合同与法律义务及时告知影响；提供可验证的处置进展，保护长期信任。
发生较大及以上事件时，按《国家网络安全事件报告管理办法》分级限时报告（关基 1 小时 / 中央机关 2 小时 / 其他运营者 4 小时）[25]；涉及个人信息泄露的，履行个保法告知义务[20]。
事实—行动—保障三段式口径；不猜测、不隐瞒、不攻击；预留后续更新承诺。
双重勒索已成为主流手段，数据泄露站（DLS）是攻击者公开施压的核心基础设施。DLS 应对应纳入勒索专项预案，形成独立处置流程：