勒索攻击不是一次"病毒感染"，而是一场以小时计时的业务连续性危机。本分册以 NIST SP 800-61、ISO/IEC 27035 与我国 GB/T 20986-2023、《国家网络安全事件报告管理办法》为规范基线，结合 Solar 安全应急响应团队、360 反勒索服务平台等一线处置数据，构建"事前有预案、事中有章法、事后有闭环"的勒索应急方法论。
传统病毒应急的默认假设是"清除威胁、恢复运行"。勒索攻击则彻底改写了这一假设：攻击者以业务中断为筹码、以数据泄露为二次胁迫，在时间上、法律上、舆论上同时向受害组织施压。处置勒索事件，必须从"IT 运维事件"升格为"企业级危机事件"来管理。
现代勒索加密器以每分钟数千个文件的速度运行，从初始访问到全域加密的中位时间已进入"小时级"。Solar 团队实战处置数据显示（《勒索软件威胁态势与防护实践年度报告（2025）》），多数受害组织从首台失陷到大规模加密不足 24 小时——响应速度直接决定损失量级，"黄金一小时"由此成为行业共识。
2024—2025 年全球活跃的勒索家族绝大多数已转向双重勒索模式（窃取数据+加密+公开威胁三重施压）；国内实战处置口径中双重勒索占比 55.32%（据 Solar 安全应急响应团队《勒索软件威胁态势与防护实践年度报告（2025）》内部处置数据统计）。这意味着：即使备份完好、数据全部恢复，攻击者仍握有窃取的数据并以公开相要挟——处置目标从"恢复系统"扩展为"控制数据泄露后果"。
主流勒索家族普遍内置反取证逻辑：加密前执行 vssadmin delete shadows /all /quiet 删除卷影副本、禁用恢复模式与备份服务、清空事件日志。内存中的密钥、注入的凭据在断电关机瞬间灰飞烟灭——处置动作的顺序错误等于主动销毁证据。
Solar 团队 534 起处置案件中，涉及核心业务中断或敏感数据加密的高危级事件占比高达 99.61%。勒索事件的本质冲击不是数据，而是业务停摆：医疗机构被迫转院、工厂停产、零售门店停业——应急指挥必须纳入业务、法务、公关决策链。
多数勒索事件处置失败的根源不是技术，而是组织：无人有权拍板断网、无人知道该通知谁、法务与公关在事发后 24 小时才首次介入。一个合格的勒索应急组织，必须在事发前就完成授权、分工与外部协同的全链条设计。
由高管（CIO/CSO/分管副总裁）挂帅，成员含法务、公关、人力、财务负责人。核心授权：宣布启动预案、批准网络级隔离、决定"是否停业、是否报案、是否接触攻击者"、批准重大资金动作。
CSIRT/安全运营团队主导：威胁研判、遏制隔离、取证溯源、清除恢复。须 7×24 值班，并与备份管理员、网络管理员、AD 管理员、应用运维建立事先书面化的"应急联络卡"与升级路径。
公安机关网安部门、CNCERT/12387 报告渠道、行业主管部门、应急响应服务商、安全厂商、云/运营商、网络安全保险机构与外部律师。关键原则：合同前置——服务商响应时限与保密义务须事先约定。
| 应急活动 | 应急指挥 | CSIRT | IT 运维 | 法务合规 | 公关/行政 |
|---|---|---|---|---|---|
| 启动应急预案、宣布事件等级 | A | R | C | C | I |
| 网络隔离与遏制 | A | R | R | I | I |
| 事件定级与监管报告 | A | R | C | R | I |
| 现场保护与数字取证 | I | A/R | C | C | I |
| 赎金支付决策 | A | C | I | R | C |
| 数据泄露披露与舆情 | A | C | I | R | R |
| 业务恢复与回归决策 | A | R | R | I | I |
| 30 日事件总结报告 | A | R | C | C | I |
注：R=负责执行，A=最终问责，C=事前咨询，I=事后知会。矩阵应写入预案正文并每年随演练更新。
事件分级是应急资源的"调度令"，也是法定报告义务的"触发器"。我国 GB/T 20986-2023 与 2025 年 11 月施行的《国家网络安全事件报告管理办法》构成了分级与报告的完整规范闭环——勒索事件几乎全部落入"较大以上"区间，倒计时从发现那一刻就开始走动。
| 级别 | 定级要素（影响对象/业务损失/社会危害） | 勒索场景典型特征 |
|---|---|---|
| 特别重大 | 多个省级行政区/关键信息基础设施大范围受损；造成极端严重业务损失或社会危害 | 关基设施（能源、交通、医疗核心系统）全域瘫痪；敏感数据大规模泄露并引发重大社会影响 |
| 重大 | 一个省级行政区或单一行业较大范围受损；严重业务损失或社会危害 | 核心业务系统中断数日以上；重要数据/敏感个人信息遭窃取并遭 DLS 公开威胁 |
| 较大 | 单个组织重要系统受损、跨部门影响；明显业务损失或社会危害 | 生产/经营系统中断数小时至数日；局部数据被加密或窃取 |
| 一般 | 局部影响，可由组织常规处置能力控制 | 个别终端感染被及时阻断，未发生横向扩散 |
定级依据：GB/T 20986-2023《信息安全技术 网络安全事件分类分级指南》（2023-05-23 发布，2023-12-01 实施），分级综合"事件影响对象、业务损失（含重要数据/敏感个人信息）、社会危害"三要素研判。
NIST SP 800-61r2 与 SANS 提出的六阶段模型（准备—识别—遏制—根除—恢复—复盘）是事件响应的通用骨架。本节给出每个阶段的勒索专项动作映射，形成"通用框架 × 勒索特化"的处置矩阵。
基于 Solar 团队数百起实战处置经验：勒索攻击发生初期的处置动作直接决定损失大小，第一小时的正确响应是遏制灾难的关键窗口。以下 SOP 按分钟切割，可直接纳入企业预案。
实战依据：Solar 安全应急响应团队《勒索软件威胁态势与防护实践年度报告（2025）》之"黄金一小时"应急响应手册与真实攻击链路复盘
取证不是"破案"的专属动作，而是每一次遏制与根除决策的事实基础，更是后续报案、诉讼、保险理赔的合规前提。勒索场景下，取证必须与遏制动作并行设计——顺序错了，证据就没了。
漏洞利用、钓鱼凭证、RDP/SQL 弱口令、供应链——Solar 复盘案例显示防火墙策略不精 + 高权限弱口令是最常见的"组合拳"。入口不定，根除无从谈起。
按 MITRE ATT&CK 重建攻击链：初始访问→执行→提权→防御规避→凭据访问→发现→横向移动→收集→外传（T1567）→影响（T1486/T1490）。回答"是否已外传"直接决定披露义务范围。
计划任务、恶意服务、WebShell、隐藏账号、VPN 配置篡改。35.2% 的二次攻击率证明：漏掉任何一个持久化点，等于请攻击者再来一次。
是否支付赎金，是勒索应急中唯一需要董事会层面介入的决策。它同时是安全判断、财务判断与法律判断——任何单一视角的决策都可能给组织留下深远的次生伤害。
其一，助长产业：支付即供血。FBI 与 CISA 在 #StopRansomome 指南中明确不鼓励支付赎金，指出支付不能保证数据恢复，反而资助并鼓励更多攻击。
其二，无法保证："付款—解密—删数据"的承诺没有任何履约机制，支付后数据仍被公开的案例屡见不鲜；且 35.2% 的企业在清理不彻底后遭遇二次攻击。
其三，法律风险：美国财政部 OFAC 2021 年 9 月咨询公告明确：向受制裁主体支付赎金可能使付款方面临制裁风险——跨境业务的境内企业同样需评估此类合规敞口。
专业分工：由应急响应服务商或专业谈判团队出面，隔离管理层直接暴露；验证能力：要求攻击者提供 2—3 个文件的试解密，验证其确实持有密钥再谈金额；压低基线：初始报价普遍留有大幅议价空间，谈判周期本身就是攻击者的成本；不留后患：对"保密删除"承诺保持书面存疑，做好数据仍被泄露的预案与披露准备；全程留痕：谈判记录纳入取证与合规档案。
应急响应的成熟度，不取决于有没有预案文本，而取决于预案是否被授权、被演练、被计时检验。