凌晨勒索软件：先恢复还是先取证
某中型制造企业约有600名员工，生产网与办公网共用一个AD域。周五03:12，SIEM连续告警：文件服务器FS01在5分钟内约12000个文件被改成.locked扩展名，共享盘无法访问；同一时段，备份服务器NAS02出现异常SMB写入。值班工程师按手册先拔掉FS01网线，却没有隔离NAS02。NAS02的备份任务与生产共用同一个域服务账号svc_backup，最近一次可用的离线备份在6天前，在线备份与生产同网段且备份目录对域用户可读。FS01上还存放客户图纸和部分人事档案；勒索信要求支付40万元门罗币，并声称已窃取数据。OA和ERP都依赖FS01共享盘，早上8点生产主管要求立即恢复以赶上订单交付，9点有媒体来电询问。安全经理掌握：周四有3名财务人员打开过带宏的Excel附件，边界防火墙日志显示443端口存在异常外联；EDR只覆盖服务器，终端覆盖率约60%；公司没有正式的事件响应预案，上一次演练在两年前；安全团队只有4人，其中1人休假。生产恢复的RTO为8小时，RPO为24小时，但管理层此前未批准离线备份预算。攻击者使用的域账号登录时间为凌晨2:40，来源IP为10.20.3.66，属于研发网段，该网段与服务器网段互通。
1. 值班工程师先拔FS01网线、未隔离NAS02，这一处置有什么问题？请给出接下来2小时内的处置顺序，并说明证据保全要点。
Read the worked answer
问题在于只处理了显性告警主机，却放过了同样出现异常SMB写入的备份服务器。NAS02与生产同网段、共用域服务账号，攻击者很可能已通过该账号横向到达备份，先恢复会把污染带回生产。
2小时内的处置顺序：1）确认范围：查SIEM、EDR、防火墙会话和域控登录日志，重点看svc_backup在02:40从10.20.3.66的登录及派生进程；2）网络隔离：对FS01、NAS02及可疑研发主机下发ACL或切VLAN，保留电源与内存，不立即重装；3）账号处置：禁用svc_backup及关联登录会话，重置相关域账号密码，由域管理员判断krbtgt是否需要轮换；4）阻断外联：封禁防火墙日志中的C2地址和域名，保留会话记录；5）保全证据：对FS01和NAS02做内存镜像与磁盘镜像，导出原始SIEM日志、防火墙会话、勒索信、宏附件及哈希，记录交接链；6）评估备份：只读挂载NAS02备份，扫描后抽样恢复到隔离网段。不要先格式化或删除文件，否则无法确认入口和范围。
2. 生产主管要求立即用NAS02备份恢复，你是否同意？请说明判断依据和恢复前的验证步骤。
Read the worked answer
不同意“立即、直接”恢复，但同意把恢复作为目标。NAS02已出现异常SMB写入，且与生产同网段、备份目录对域用户可读，不能假定备份干净；最近离线备份在6天前，RPO为24小时已无法满足，实际可能损失约6天数据。恢复前至少做：只读挂载备份，用EDR和离线扫描检查勒索程序与持久化；在隔离环境抽样恢复并验证文件完整性；确认备份时间点早于02:40的账号滥用；先恢复身份系统和ERP只读能力，再按业务影响排优先级；恢复后立即改密码、封堵宏和注入入口、限制备份账号权限。若备份已被加密，应使用离线副本或重建，不能为赶交付而跳过验证。
3. 是否应支付赎金或对外发布信息？请说明应如何履行报告与沟通义务。
Read the worked answer
不建议支付赎金：支付不保证解密，可能助长犯罪，还可能触及制裁与合规风险；应把勒索信、钱包地址、联系渠道作为证据交公安网安部门。对外沟通由指定发言人统一进行，先内部通报董事会、法务和保险方，避免员工私自发声。报告义务要看法务判断：若确认涉及个人信息或重要数据，按《网络安全法》第42条、《数据安全法》第29条、《个人信息保护法》第57条立即补救并按规定告知用户、报告主管部门；涉及重要数据的，适用《网络数据安全管理条例》更具体的时限要求。媒体询问可确认“已发现事件并启动调查”，不披露未核实细节。