sentinel, Lab
场景 2 — 阶段一：紧急隔离与止血
网络层紧急隔离
| 步骤 | 动作 | 说明 |
|---|---|---|
| 1 | 防火墙阻断 | 隔离网段 ACL 全部 deny，阻断 SMB(445) RDP(3389) RPC(135) |
| 2 | 交换机端口关闭 | 失陷主机物理端口 shutdown |
| 3 | VPN / 远程访问切断 | 暂停 VPN 服务，禁用远程账户 |
主机级紧急处置
| 步骤 | 动作 | 说明 |
|---|---|---|
| 1 | 断网不断电 | 拔网线 / 禁用网卡，不关机（保留内存中的加密密钥和进程信息） |
| 2 | 终止恶意进程 | taskkill /f /im encrypt.exe，找到并终止加密进程（可能有看门狗） |
| 3 | 删除恶意启动项 | 注册表 Run 键 / 计划任务 / 服务 |
| 4 | 保护备份数据 | 断开备份存储的网络连接，确认离线备份未被加密 |
| 5 | 内存取证 | winpmem / dumpit 转储内存，提取加密密钥（若未清除） |
传播链阻断清单
| 端口 / 服务 | 措施 |
|---|---|
| SMB 445 | 全网 ACL 阻断 |
| RDP 3389 | 外网关闭 + 内网限制 |
| RPC 135 / 139 | 域控策略阻断 |
| PsExec / WMI | 禁用远程执行服务 |
| 域管理员账户 | 立即重置密码 |
| 共享文件夹 | 临时关闭所有共享 |
| USB / 外设 | 禁用自动播放 |
| 邮件网关 | 升级拦截规则 |
应急协调与通报
- 启动应急预案：激活安全应急响应小组（CSIRT），通知管理层和相关业务部门
- 威胁情报查询：确认病毒家族 → 查询是否有解密工具（No More Ransom / 各安全厂商）
- 备份系统检查：确认离线备份 / 异地备份的完整性，验证备份数据未被加密或篡改
- 外部支援：联系安全厂商应急响应团队，必要时向监管机构报告
止血完成 → 进入阶段二：影响评估与取证