文章来源：全云在线

勒索病毒，是一种新型电脑病毒，主要以邮件、程序木马、网页挂马的形式进行传播。该病毒性质恶劣、危害极大，一旦感染将给用户带来无法估量的损失。这种病毒利用各种加密算法对文件进行加密，被感染者一般无法解密，必须拿到解密的私钥才有可能破解。

勒索病毒

一、勒索病毒怎么解决?

勒索病毒的解决如下：

1、及时止损（拔网线）。

能拔网线的直接拔网线，物理隔离，防止出现「机传机」的现象。如果是云环境，没法拔网线，赶紧修改安全组策略，总之，将被感染的机器隔离，确保被感染的机器不能和内网其他机器通讯，防止内网感染。

改密码！如果被勒索的机器和未被勒索的机器存在相同的登陆口令（相同的密码），及时修改未感染机器的登陆口令。

保护好案发现场，不要重启！不要破坏被勒索的机器环境，保护好案发现场。禁止杀毒/关机/重启/修改后缀等操作，最好保持原封不动，在不了解的情况下，任何动作都可能导致系统完全崩溃，严重影响后续动作。

关端口及时关闭未感染机器远程桌面/共享端口（如：22/135/139/445/3389/3306/1521）对未感染的重要机器进行隔离备份，备份后及时物理隔离开备份数据，如：硬盘或者 u 盘备份后需要及时拔掉。

不要联系黑客，在不了解勒索病毒的情况下，建议不要直接联系黑客（容易钱财两空）。

2、确定影响范围。

止损之后，逐一排查感染规模及环境（是 OA 还是服务器/一共中了多少台），可通过网络区域划分，防火墙设备、流量检测设备辅助快速确认影响范围。

3、病毒提取和网络恢复。

取证，通过对被勒索机器进行取证提取病毒样本，或结合终端防病毒软件，对影响区域内或可疑区域进行逐台确认，是否有遗留的病毒样本，确保所有机器上的病毒样本均已查杀；恢复网络制定网络恢复计划，优先对非重要区域的终端进行网络恢复，恢复过程中需通过流量检测设备进行实时监测，确保恢复后不会出现横移情况；直至全部网络恢复。

4、数据恢复和解密。

目前绝大多数勒索病毒均无法解密（在没有拿到解密密钥的情况下），通常有如下几种选择：如有数据备份，则可以直接通过数据备份进行恢复；放弃数据恢复；联系勒索者缴纳赎金，但是不建议自己联系，最好是专业的服务商协助，他们比较知道怎么跟勒索者谈判。

5、溯源分析。

溯源分析的目的，并不是是查到勒索者是谁，而是找到勒索入侵的源头（从哪台机器上进来的），即 0 号主机，然后进行相应的安全加固，以避免以后再次发生类似攻击。基于加密文件后缀、勒索信等特征，可以判断勒索病毒家族；

对于内部攻击路径溯源，需依托于网络、安全设备日志以及感染/关联终端日志记录，包括流量检测设备、防火墙设备、防病毒软件、终端日志。 备注：因为很多勒索病毒存在反侦察手段，终端环境可能会被清理，如果没有流量监控等相关设备，溯源难度会非常大。

6、安全加固。

修复内网中高危漏洞，确保如永恒之蓝等漏洞相关的安全补丁安装。在不影响业务的前提下关闭高危端口，如：445、3389等。对重要系统进行异地物理备份，确保备份完成后主备处于物理隔离状态。将内网按照业务需求划分合理区域，各个区域之间使用严格的ACL，避免攻击者大范围横向移动扩散。

最后，预防，是对付勒索病毒最为有效的手段！

二、全云在线解决方案思路：勒索病毒防护+保险解决方案，勒索病毒来了都说：溜了溜了！

针对事前、事中、事后三个难题，其实勒索病毒防护+保险解决方案就能从这三方面为客户提供勒索防治及保险服务。

整体服务流程：客户3步可完成“勒索病毒防护+保险方案”落地

保前阶段-购买产品及保险

1、购买产品并投保

客户：购买防数据勒索产品套餐并部署、提供投保信息

服务商：转交投保信息给保司

保司：与客户沟通确定保险范围和方案

对应事前-产品安装及部署

-为客户部署安全解决方案，包含边界防护与响应、威胁信息、日志审计、漏洞扫描、终端防护与响应(EDR)五大功能，指导客户正确配置并使用。

-检查并指导客户进行数据备份

2、承保

保司：接收客户投保资料、保单落成

服务商：提供安全产品部署竣工证明

客户：接收保单

对应事中-日常安全管理

-7*24小时安全产品防护

-安全产品日常技术及维护

-其他安全咨询或应急支撑服务（可选）

-网络安全风险评估（可选）

保后阶段-理赔

3、事后理赔

客户：索赔申请、提供理赔资料

保司：专业机构介入调查，按保险生效条款要求，检查数据备份配置，是否定期清除高危漏洞等保前事项，并定损理赔。

服务商：协助提供理赔资料、修复系统客户

对应事后-定责定损

-7*24小时报案

-应急响应服务

-系统和数据修复

-定损、定责

勒索病毒防护+保险解决方案，产品保障、服务贯穿、保险兜底，最大化避免勒索风险，让勒索病毒来了都要说：溜了溜了！

精选内容推荐：