勒索软件事件响应
初步评估与协同支持
先说清边界：本页和公开表单不是实时应急通道。若加密、横向传播、数据外传或生产影响仍在发生，请先执行组织内部预案，并联系已约定的紧急响应、保险、法务、云服务或其他值守渠道。我们可在授权范围内评估可协助的响应工作与后续安全建设方向。
用证据和业务优先级推动下一步
是否承接、范围、时效和现场条件需在初步沟通后确认；任何协助均以客户授权、合同约定和法律合规要求为前提。
事件初步分级
梳理首次发现时间、受影响业务、加密或外传迹象、身份风险、备份情况及已采取的动作，帮助形成初步问题清单。
范围与证据协同
在授权边界内讨论终端、身份、网络、云和备份等证据来源，支持定义调查假设、交接信息和影响范围核验路径。
恢复准备与复盘
协助梳理可信恢复前提、优先级、检测与监测补强方向，以及事件后面向终端、身份、备份和流程的改进计划。
先由内部预案控制现场，再评估外部协作
下列是协同框架，不是远程指令；隔离、停机、取证、恢复及对外通知由获授权人员按组织预案与现场证据决定。
启动内部预案
确认事件负责人、业务联系人和既定紧急渠道；优先限制持续破坏，同时考虑安全、取证和业务连续性。
保全与初筛
记录时间线、告警、受影响资产、账号和已执行动作；不要贸然批量重装、清除日志或运行来源不明工具。
范围与风险评估
结合终端、身份、网络、云、备份与业务记录，区分已确认影响、待验证线索和关键恢复依赖。
遏制与恢复准备
依据客户授权与计划讨论身份、网络、终端和备份的控制措施；先验证恢复点与环境可信度，再安排分批恢复。
复盘与改进
沉淀时间线、根因假设、遗留风险和优先改进项，评估终端防护、EDR/XDR、身份、备份和监测能力缺口。
服务与技术边界
初步评估可帮助客户梳理信息、讨论风险和判断下一步需要的能力或协作方式；它不替代客户的事件指挥、法务与合规判断、保险义务、执法报案、云平台支持、备份服务商流程或正式取证服务。涉及个人信息、重要数据、跨境数据、付款、勒索沟通或监管通知时，客户应及时按自身义务协调法务、合规和相关机构。
我们不承诺 7×24 值守、响应 SLA、即时远程处置、阻止全部传播、清除全部持久化、数据恢复、业务恢复或文件解密。勒索方的任何承诺均不等于结果保证；付款及其法律、制裁、保险和数据风险需由客户授权决策人与专业顾问独立评估。
我们不会要求或建议的做法
- 不要求通过公开表单提交密码、MFA 验证码、令牌、密钥、完整日志、内存镜像、样本、勒索信原件、个人信息或客户数据。
- 不提供可在未知生产环境直接执行的破坏性命令、批量删除、批量重装、规避访问控制或绕过许可的方法。
- 不将“告警消失”“单机重装”或“文件可打开”视为事件已经结束；仍需结合入口、身份、横向范围、备份与业务一致性验证。
提交初步评估所需的最小非敏感信息
可提供首次发现的大致时间、受影响资产数量区间、是否仍在加密或影响关键业务、已采取的隔离类别、是否存在可用备份及内部事件联系角色。请不要提供资产清单、IP 地址、域名、账号、密钥、样本、日志原文或任何可识别个人和客户的信息。
恢复前的基本判断
恢复不是只把数据写回去。应先确认恢复点早于已知入侵活动、备份和管理身份未受影响、目标环境已完成必要的安全验证，并按业务优先级在受控条件下逐步恢复。具体恢复、取证和通知决定应由客户的获授权人员作出。
勒索事件响应 FAQ
提交表单后能否立即获得实时应急响应？
不能。公开表单不是实时应急通道，也不承诺 7×24 值守或响应 SLA。事件仍在发展时，应先按内部预案使用组织已约定的紧急联系人和服务渠道。
你们能保证恢复数据或解密文件吗？
不能。数据恢复和解密受攻击方式、受影响范围、备份状态、系统依赖和证据条件影响，不存在可在早期做出的结果保证。恢复应在可信环境与经验证恢复点的基础上分批进行。
发现加密后，应立即关机还是隔离网络？
这取决于持续破坏风险、隔离能力、取证需要和业务影响。关机会丢失运行状态，而继续运行也可能扩大损失；应由事件负责人根据既有预案与现场证据作出决定。
是否应该支付赎金？
本站不提供付款建议或结果承诺。付款不能保证恢复、数据删除或攻击停止，并可能涉及法律、制裁、保险和声誉风险。请由授权管理层在法务、合规、保险与相关专业机构协助下决策。
跨产品的响应框架
处置细节需结合组织预案、受影响平台和当前官方指引；以下资料用于核验通用原则。
需要梳理事件信息、支持边界或后续能力缺口？
请只提供最小的非敏感概况，例如发现时间、影响规模区间、业务影响、隔离类别和备份状态。不要提交样本、日志、凭据、密钥或任何敏感数据。