事件响应
协调勒索软件的第一线响应
限制勒索软件扩散，保护证据与恢复选项，并给领导层一条协调好的响应路径。
流程
按这个顺序做。
- 启动事件响应计划，指定事件指挥官，打开带外协调渠道，并开始决策日志。
- 用批准方法隔离受影响系统和网段；若无法隔离，仅在事件领导判定取舍合理时关机。
- 保护备份和管理系统免遭进一步访问，禁用失陷账号，并阻断已确认的命令与控制指标。
- 在可行处保全易失与持久证据，识别勒索软件变种，并界定加密、外泄、身份失陷和初始访问范围。
- 按合同和适用报告义务，接入法务、网络保险、监管、执法和外部响应方。
- 选择干净恢复点，从可信介质重建，轮换已暴露凭证，整改入口向量，并在重连前核验系统。
- 保持加强监控，经批准发言人沟通，并进行带跟踪纠正行动的事后复盘。
先准备
猫会向你要的输入。
- 事件响应计划与联系人名册
- 受影响资产与观察到的指标
- 备份清单与恢复优先级
- 法务、保险与报告联系人
路由器 + 一份 playbook
先路由。只选一份。
Cat Paw 每次任务只加载一份 playbook，不合并多份。先走这个路由器；其余路径是此 workflow 可检查的候选。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/performing-ransomware-response/SKILL.mdskills/cybersecurity-skills/investigating-ransomware-attack-artifacts/SKILL.md
界限
界限跟着提示一起走。
- 仅授权响应者可隔离、禁用、重建或重连系统。
- 不要销毁证据、运行不可信解密器，或在没有高管、法务和执法指导时谈判或支付。
- 若企业身份或消息可能失陷，使用带外沟通。
完成代表
一个可核对的终点。
扩散已停止，范围与报告决定已记录，关键服务从可信来源恢复，入侵路径已处理，监控在约定观察期内未见再次恶意活动。
来源
这个流程从哪来。
- www.cisa.gov/ransomware-response-checklist
- www.cisa.gov/resources-tools/resources/stopransomware-guide
- csrc.nist.gov/pubs/sp/800/61/r3/final
来源确立 workflow 的模式。如有 Reddit 或社区帖子，视为实务轶事，不是普遍事实。
