sentinel, Lab
场景 4 — 阶段三：数据恢复与业务重建
备份数据恢复路径
| 备份类型 | 状态 | 说明 |
|---|---|---|
| 离线磁带备份 | ✅ 可用 | 攻击前 24h 全量备份，物理隔离未受影响 |
| 异地灾备中心 | ✅ 可用 | 实时同步延迟 15min，数据完整可用 |
| NAS 快照备份 | ⚠ 部分可用 | 部分快照已被加密，需逐一验证可用性 |
| 在线热备 | ❌ 不可用 | 与生产同网段，已被加密不可用 |
恢复策略选择
| 优先级 | 目标 | 策略 | RPO |
|---|---|---|---|
| P1 | 核心数据库 | 异地灾备恢复 | 15min |
| P2 | 文件服务器 | 磁带全量恢复 | 24h |
| P3 | 应用服务器 | 从干净镜像重新部署 | — |
解密工具与密钥恢复
- No More Ransom 查询：nomoreransom.org 查询 LockBit 3.0 是否有已公开的解密工具
- 内存密钥提取：若主机未关机，从内存转储中尝试提取 AES 密钥
- 安全厂商协助：提交样本给安全厂商分析，部分变种存在加密缺陷
- 备份 + 解密组合恢复：备份恢复大部分 → 解密工具补充恢复
⚠ 原则：不支付赎金 — 资助犯罪且不保证获得解密密钥
业务系统重建
- 操作系统重装：格式化重装，不复用被感染系统
- 安全基线配置：CIS Benchmark 加固，关闭不必要端口和服务
- 应用重新部署：从干净镜像仓库部署应用，使用全新凭证和密钥
- 数据恢复导入：从验证通过的备份恢复数据，数据一致性校验
- 业务验证上线：功能测试 + 安全扫描 → 灰度上线
恢复指标
| 指标 | 目标值 |
|---|---|
| 数据恢复率 | 92% |
| 核心系统恢复 | 48h |
| 全量恢复 | 7d |
| RPO（灾备） | 15min |
恢复时间线
| 时间段 | 阶段 |
|---|---|
| 0-4h | 网络隔离 + 止血 |
| 4-12h | 评估取证 + 恢复方案确定 |
| 12-48h | 核心系统重建上线 |
| 48h-7d | 全量系统恢复 + 业务验证 |