响应目标：3分钟内物理断网，30分钟内启动应急预案，72小时内完成数据恢复。

　　第一阶段：黄金30分钟——紧急止损

　　Step 1：3分钟物理断网(发现即执行)

　　发现文件后缀变为.medusa、.lockbit5等异常后缀，或桌面弹出勒索信时：

　　拔掉网线/关闭WiFi：物理断开设备网络连接，禁用无线网卡。

　　关闭共享文件夹：通过“控制面板→网络和共享中心”取消所有共享，防止病毒加密局域网文件。

　　禁用USB接口：用组策略封锁USB自动运行，避免病毒通过U盘扩散。

　断网后不关机：部分病毒重启会触发二次加密，保持设备开机状态等待技术团队取证。

　　Step 2：10分钟隔离与取证

　　锁定管理员账号：在“用户管理”中冻结管理员权限。

　　快照留存证据：截图勒索信(含黑客联系方式、赎金要求)，记录加密文件类型和修改时间。

　　记录感染信息：记录感染设备IP、加密文件样本、发现时间。

　　Step 3：30分钟内启动正式响应

　　上报应急指挥小组：拨打应急专线，通知IT部门。

　　启用网络隔离预案：在防火墙阻断感染设备MAC地址。

　　评估影响范围：确认被加密的数据类型和业务系统。

　　第二阶段：72小时深度处置

　　感染分析(2-24小时)

　　检查异常进程：Windows执行tasklist /svc | findstr "crypt"，Linux执行ps aux | grep "ransom"，定位病毒进程。

　　日志审计：导出VPN登录日志，重点排查“非工作时间境外IP登录”“单次下载>10G”等异常行为。

　　确定入侵路径：分析病毒来源和传播方式。

　　数据恢复(24-72小时)

　　从备份恢复：从离线备份或异地备份中恢复数据。

　　清除病毒根源：查杀病毒、修补漏洞、更新系统补丁。

　　验证数据完整性：确认恢复后的数据可用且未被二次加密。

　　⚠️绝对禁忌

　　切勿支付赎金——2025年双重勒索占比85%，付款后数据仍可能被曝光。

　　合规要点

　　涉及核心数据被加密且影响业务运营的，及时向公安网安部门报告。