本文目录导读：
数据加密勒索（勒索软件攻击）是目前企业面临最严重的网络安全威胁之一，一旦中招，核心数据被锁，业务停摆,情绪上很容易陷入恐慌。
止损的核心原则是：立即切断传播路径，阻止加密蔓延，同时保留证据，避免二次伤害。 以下是针对不同阶段的止损与自救方案,按优先级排序：
第一阶段：黄金10分钟（立即执行）
- 立即断网（物理隔离）
- 拔掉被感染主机的网线、关闭Wi-Fi，不要通过系统菜单正常关机（避免操作系统在退出时备份或同步被加密文件）。
- 断开该主机所在的交换机端口,防止横向感染。
- 隔离网络（如果已大量感染）
- 立即关闭受感染网段的路由，切断与核心服务器（ERP、财务、数据库）的连接。
- 暂停所有域控（AD）服务,因为勒索病毒常通过域策略批量下发作。
- 紧急备份：只读物理隔离
- 立即拔掉所有在线备份硬盘、NAS、磁带机的连接线。不要通过软件弹出或关闭,直接物理断电。
- 检查离线备份（磁带、光盘、离线硬盘）是否完好，如果备份是只读或离线的,这就是最后的救命稻草。
第二阶段：止损与评估（30分钟内）
-
全面断网（扩展）
- 暂停所有对外VPN连接。
- 暂停所有邮件服务器、文件服务器的服务,防止病毒通过邮件或共享文件夹扩散。
- 如果无法判断感染范围，最保守的做法是：断开公司总路由的外网连接,然后在内网逐台排查。
-
快速溯源与取证
- 不要在被感染主机上运行任何杀毒软件或修复工具（会破坏内存信息，影响取证）。
- 截图或记录勒索信息：勒索信内容、勒索金额、比特币地址、暗网链接,这是报案和未来可能解密的关键。
- 记录最初发现感染的时间点和现象（哪个员工、哪个电脑、哪个程序弹出的窗口）。
-
启动应急响应计划
- 通知管理层：汇报当前紧急程度（是否涉及核心业务？是否涉及客户数据？）
- 联系专业安全团队（如果公司有签约的MSSP/安服，或直接联系勒索病毒研究公司，如安恒、奇安信、绿盟、360等）。不要自行联系勒索方（除非有非常了解赎金谈判的安全顾问）。
第三阶段：核心数据恢复（救命方案）
核心原则：绝不要轻易支付赎金。 支付后拿到解密工具的概率远低于50%,且会成为后续被反复攻击的目标。
恢复优先级（从上到下）：
- 使用离线备份恢复：这是最稳妥的方法，从离线备份中恢复数据，然后在干净的环境（全新虚拟机、未连内网的主机）中验证恢复后的数据是否完整且不包含病毒。
- 寻找免费解密工具：访问国际上的勒索病毒解密库（如No More Ransom Project，由卡巴斯基等联合运营），输入勒索信中的病毒名称（如 Dharma, LockBit, REvil 等），尝试下载对应解密工具。注意： 这是针对已经公开破解的病毒变种,成功率有限。
- 加密解密专家介入：联系专业数据恢复公司（如Kroll, CBL, 国内知名的反病毒实验室），他们可能通过逆向分析、文件结构修复、内存恢复等方式尝试恢复碎片文件,或者通过谈判压低赎金。
- 赎金谈判（最后选项）：如果以上全部失效，且数据对业务生死攸关，必须在专业谈判顾问的指导下进行，不要直接联系勒索方，不要展示恐慌，不要一次性付清，谈判过程中要确认：是否有解密工具、是否包括所有被加密的文件、解密测试是否能成功。
第四阶段：恢复与加固（中远期）
- 重建环境：不要在原来被感染的服务器上直接恢复，格式化所有硬盘,重新安装操作系统和所有软件。
- 修补漏洞：排查攻击入口（常见的：RDP弱密码、钓鱼邮件、未打补丁的Web应用、共享目录管理员权限过大）。
- 加固配置：
- 关闭不必要的端口（尤其是3389 RDP端口，改用VPN+堡垒机）。
- 实施最小权限原则（员工账户权限不高于其工作需要）。
- 启用多因素认证（MFA）对所有管理员和远程访问用户。
- 完善备份策略：实施 3-2-1-1-0 原则：
- 3份数据副本
- 2种不同介质
- 1份异地存储（包括云端,且云端备份需支持不可变存储）
- 1份离线（物理隔离）
- 0次备份失败（定期恢复演练）
关键警告（避坑指南）
- 绝对不要：在被感染后立即重启电脑或关机（可能导致内存中的密钥丢失，使解密变得更困难）。
- 绝对不要：尝试使用第三方“修复工具”扫描被加密的硬盘，这可能会破坏文件头,导致后续专业数据恢复也无法进行。
- 绝对不要：在确认环境被清理干净前，将备份数据重新插回被感染的内网（会再次被加密）。
- 绝对不要：隐瞒不报，如果涉及用户数据、财务数据、医疗数据等，必须根据《网络安全法》《个人信息保护法》等规定，在2小时内向属地网信办或公安机关（网安）报告,瞒报可能导致巨额罚款。
一句话止损口诀
先断网，后拔线，离线备份是底线；不重启，不付赎，报警求助是关键。
如果现在正处在攻击中，请立即执行第一步（断网）,然后联系贵司的安全负责人或签约的安全服务商。
