校园办公系统勒索病毒感染处置演练脚本

校园办公系统勒索病毒感染处置演练脚本一、演练背景与场景设定本次演练模拟某高校办公时间内，财务处一台涉及核心资金流转的办公终端，因接收并点击了伪装成“财政补贴发放明细表”的钓鱼邮件附件，导致勒索病毒在校内办公网络中触发并尝试横向扩散。病毒加密了本地文件，并尝试通过SMB协议（445端口）和RDP协议（3389端口）向校园网内其他服务器和终端传播。演练旨在检验学校网络与信息安全应急工作小组（以下简称“应急工作组”）在突发勒索病毒事件时的监测预警、应急响应、研判分析、应急处置、系统恢复及溯源追踪能力，确保关键业务系统的连续性和数据完整性。二、演练角色与职责分配为了确保演练效果，明确各参与角色的具体职责，参演人员需严格按照下表分工执行相关操作：角色名称担任部门/人员主要职责描述关键动作指令总指挥分管信息化副校长负责演练的总体决策，启动和终止应急响应，协调跨部门资源。发布启动令、签发断网令、批准恢复方案、宣布演练结束。技术研判组网络中心安全部负责样本分析、攻击路径溯源、病毒变种识别、影响范围评估。提取样本、分析哈希值、确定病毒类型、定位感染源、绘制攻击链。网络处置组网络中心运行部负责网络层面的封堵、隔离、流量清洗，防止病毒扩散。配置ACL策略、关闭高危端口、物理断网、VLAN隔离、抓包分析。系统恢复组网络中心系统部负责受感染系统的重装、数据恢复、业务系统割接与验证。操作系统重装、数据还原、补丁更新、防病毒软件部署、业务功能测试。联络协调组办公室/保卫处负责对外联络（如上级主管部门）、对内通报、舆情监控与引导。发布通知、安抚师生情绪、向公安机关网安部门报案、记录会议纪要。攻击模拟组红队/第三方安全厂商模拟黑客行为，投递病毒样本，执行横向移动操作（仅在演练授权范围内）。发送钓鱼邮件、释放勒索病毒、尝试横向连接、制造攻击流量。业务观察组财务处/教务处作为受害方，配合描述故障现象，确认业务中断情况，验证恢复效果。报告异常现象、确认文件加密情况、配合数据恢复验证、签署恢复确认单。三、演练第一阶段：监测发现与先期处置1.1场景触发与用户报告【时间：09:30AM】【地点：财务处综合办公室】【场景描述】：财务处经办人李某在处理日常报销业务时，收到一封发件人显示为“校财务处<finance_coun@>”的邮件，邮件主题为“2024年度教职工绩效津贴调整明细（内部资料，请勿外传）”。李某误以为是内部通知，点击了附件“津贴调整明细.xlsx.scr”。几分钟后，电脑屏幕出现弹窗，提示文件已被加密，需在24小时内支付比特币才能解密，同时桌面图标变为乱码，文档无法打开。【脚本对话与操作】：李某（焦急）：我电脑上的报销Excel表格全打不开了，后缀名变成了.locked，桌面上有个红色的弹窗说要赎金，这怎么办？这还有急等着付款的单子！财务处王某（主管）：快别动电脑，立刻拔掉网线！小张，你马上打网络中心报修电话，说财务部电脑中毒了，可能很严重！IT前台接听员：您好，网络中心服务台。IT前台接听员：好的，请不要重启电脑，保持现状，网络线已拔除是吗？请立即通知所有同办公室人员暂停电脑操作，我们马上派安全工程师上门，同时已启动紧急上报流程。1.2应急响应启动与初报【时间：09:35AM】【地点：网络中心安全运营中心（SOC）】【场景描述】：网络中心安全态势感知平台发出高危告警，显示财务处VLAN区域出现大量异常外连请求和SMB445端口扫描行为。与此同时，服务台接到报警。【脚本操作】：安全值班员：确认态势感知告警，源IP为3（财务处李某PC），特征码匹配勒索病毒家族。检测到该主机正在尝试向内网网段进行横向扫描。安全值班员：立即电话报告技术研判组组长和总指挥。技术研判组组长：收到，初步判断为勒索病毒爆发。请值班员立即在态势感知平台中标记该IP为“失陷主机”，并准备调用防火墙策略。我马上向总指挥申请启动二级网络安全事件应急响应。四、演练第二阶段：研判分析与紧急遏制2.1技术研判与定级【时间：09:45AM】【地点：应急指挥会议室（线上+线下）】【场景描述】：技术研判组到达现场（或远程接入），对李某的电脑进行初步勘验，并对网络流量进行深度分析。【脚本操作与对话】：技术研判组员A（现场）：已确认中毒主机。屏幕弹出勒索信，文件后缀被篡改。通过查看系统日志，发现病毒是通过进程伪装运行的。由于拔网线及时，该主机与内网其他主机的后续连接已被物理切断，但在断网前已尝试连接过文件服务器。技术研判组员B（后台）：回溯流量日志发现，09:32分至09:34分，该主机向全网段发送了数千个SMB探测包。重点排查了教务系统和OA系统的服务器日志，暂未发现异常登录成功的痕迹。技术研判组组长：根据样本特征和传播速度，结合《校园网络安全事件应急预案》，判定此为“较大网络安全事件”。病毒具有蠕虫特性，若不立即遏制，极有可能感染校园网核心服务器。总指挥：同意定级。立即启动二级应急响应。各小组按预案就位，优先保障核心数据库安全，允许采取必要的临时断网措施。2.2网络紧急隔离与封堵【时间：09:50AM】【场景描述】：网络处置组执行网络层面的隔离操作，切断病毒传播路径。这是演练中最关键的步骤，要求操作精准、迅速。【详细操作脚本】：1.边界封堵：网络处置组登录核心防火墙，配置出站ACL（访问控制列表），阻断所有内网主机向已知的勒索病毒C2（命令与控制）服务器IP的连接；暂时关闭校园网出口的445、135、139、3389等高危端口映射。2.域内隔离：在核心交换机上，将财务处所在的VLAN50进行“黑洞”路由配置，或通过VLANACL策略，禁止该VLAN访问其他业务VLAN（如VLAN100教务、VLAN200OA）。针对感染主机IP3，在网关设备上实施物理或逻辑端口封禁。3.服务器防护：立即对核心业务服务器（财务数据库、教务系统、身份认证系统）进行加固检查。暂时禁用服务器上的管理员账号（除本地登录外），强制修改所有服务器远程登录密码。检查服务器共享文件夹权限，移除“Everyone”组的写入权限，防止病毒通过网络共享写入加密文件。【输出记录表】：措施类型执行设备具体策略内容执行状态预计效果访问控制核心防火墙拒绝内网任意IP访问C2IP段x.x.x.x/24已生效阻止心跳回传，防止数据窃取端口隔离汇聚交换机阻断VLAN50至VLAN10/20/30的TCP445/135流量已生效阻断SMB/RDP横向传播主机封禁接入交换机关闭GigabitEthernet0/23端口（连接中毒PC）已生效物理隔离感染源账号冻结身份认证服务器强制重置域管理员密码，锁定可疑账户已生效防止利用凭据提权五、演练第三阶段：深度排查与病毒清除3.1全网扫描与隐患排查【时间：10:00AM-11:00AM】【场景描述】：在遏制住初步扩散后，技术研判组需确认校园网内是否存在其他“潜伏”感染点。【脚本操作】：1.漏洞扫描：利用漏扫工具对全网存活主机进行扫描，重点检测是否存在未修补的MS17-010（永恒之蓝）漏洞或其他可被利用的高危漏洞。2.样本比对：通过EDR（端点检测与响应）系统，检索全网终端的进程哈希值，查看是否有与勒索病毒样本相同的恶意进程在运行。3.日志审计：分析域控制器日志，查看是否有异常的大量账户登录失败记录，这可能是病毒在尝试暴力破解密码进行传播。【排查结果模拟】：技术研判组员B：报告，经全网扫描，发现除财务处该台主机外，另有3台位于教务处办公室的电脑存在异常进程，但尚未完成文件加密，处于潜伏期。网络处置组组长：收到，立即远程下发杀毒指令，并物理切断这3台电脑的网络连接。请系统恢复组准备进行人工处置。3.2病毒样本清除与取证【时间：11:10AM】【场景描述】：对确定的感染主机进行深度清理和取证，为后续溯源提供依据。【详细操作步骤】：1.取证镜像：在断网环境下，使用只读接口对中毒硬盘进行全盘镜像备份，保存在专门的取证介质中，供后续分析攻击来源。2.进入PE环境：技术人员使用专用PE启动盘引导中毒电脑，避免病毒在操作系统启动时继续运行。3.文件清理：在PE环境下，手动删除病毒自启动项（注册表Run键值、启动文件夹下的恶意文件）。查找并删除病毒原始释放文件（通常是伪装的文档或scr文件）。删除病毒生成的勒索信文件和临时解密程序。4.重装系统：鉴于勒索病毒对系统的破坏性和难以彻底清理的特性，原则上不建议查杀后继续使用原系统。标准操作应是对硬盘进行格式化，重新安装操作系统及必需的应用软件。六、演练第四阶段：数据恢复与业务重建4.1数据完整性校验与恢复【时间：13:30PM】【场景描述】：系统清理完毕后，最关键的环节是恢复被加密的数据。演练中需验证备份数据的可用性。【脚本操作与对话】：系统恢复组组长：财务处，请确认你们这台电脑上涉及的重要数据是否有最近的备份？财务处李某：我的重要报销文档都存储在部门的文件服务器上，本地只有一部分临时文件，服务器那边没问题吧？技术研判组组长：我们在隔离阶段已经保护了文件服务器，经检查服务器未受感染。本地硬盘的临时文件已被加密，无法解密（假设该勒索病毒暂无解密工具）。系统恢复组组长：好的，我们将对这台主机进行系统重装，并从备份服务器恢复您之前的用户配置文件。对于服务器上的数据，我们将进行一次快照完整性校验。【详细恢复流程】：1.服务器备份验证：登录备份服务器（如Veritas,Commvault或爱数），选取最新一次的备份时间点（如今日凌晨03:00），执行“模拟恢复”操作，验证备份文件无损坏，且可正常挂载读取。2.本地重装与加固：格式化中毒硬盘，重新安装Windows10/11企业版操作系统。安装最新的系统补丁，关闭非必要服务（如Server服务，Workstation服务）。安装企业级防病毒软件，并更新至最新病毒库。修改本地管理员密码，配置复杂的屏幕锁定策略。3.数据还原：将备份的财务数据（如有）或用户配置文件还原至新系统。4.网络接入审批：填写《主机入网申请单》，由安全组扫描确认无漏洞后，方可重新接入网络。4.2业务系统功能性验证【时间：14:30PM】【场景描述】：财务处业务恢复上线，进行全流程测试。【脚本对话】：系统恢复组员：李老师，电脑已经修好了，系统重装了，杀毒软件也装好了。请您现在登录，试着打开几个文件，再访问一下财务系统看看是否正常。财务处李某（测试）：登录很快，之前的Word文档能正常打开，没有乱码。我登录财务系统，提交一笔测试报销单……提交成功！流程流转也正常。太好了，没耽误今天下午的结算。系统恢复组员：好的，请您在《故障恢复确认单》上签字。我们后续会持续监控这台机器两天的运行状况。七、演练第五阶段：复盘总结与整改7.1应急响应终止【时间：15:00PM】【场景描述】：确认所有威胁已清除，业务恢复正常，总指挥宣布演练结束。【脚本流程】：联络协调组组长：报告总指挥，经技术组确认，校园网内未发现新增感染点，所有受影响主机已完成清理并加固，核心业务系统运行平稳，舆情平稳。总指挥：我宣布，本次校园办公系统勒索病毒感染处置演练圆满结束。解除应急响应状态，各组恢复正常工作。7.2演练复盘与问题分析【时间：15:30PM】【地点：会议室】【场景描述】：全体参演人员进行复盘，查找演练过程中暴露的问题和不足。【复盘会议纪要摘要】：1.监测环节：态势感知平台虽然发现了流量异常，但在告警准确率上仍有提升空间，初期误报了一定数量的正常扫描请求，导致研判延迟了约2分钟。2.响应环节：发现病毒后，普通用户（财务处李某）的第一反应是惊慌，未能第一时间断网，而是先打电话咨询，这在实战中可能导致扩散加速。说明日常安全意识培训仍需加强。3.处置环节：网络处置组在配置ACL策略时，因策略冲突导致一次配置失败，耗时约5分钟才排查出原因，反映出防火墙策略管理不够规范，缺乏测试环境验证。4.恢复环节：虽然数据恢复成功，但发现部分终端的操作系统补丁更新滞后，存在已知的高危漏洞，这是病毒能够成功入侵的内因。7.3后续整改措施计划针对演练中发现的问题，制定详细的整改计划表，确保演练成果转化为实际安全能力的提升。序号存在问题整改措施责任部门计划完成时间1用户安全意识不足，应急处置流程不熟制作“断网、报警、保留现场”三步走宣传海报和屏保；每学期开展一次全员钓鱼邮件演练。宣传部/网络中心演练后2周内启动2终端补丁更新滞后部署补丁管理服务器，强制开启终端自动更新策略；对未打补丁设备实施网络阻断（NAC准入控制）。网络中心系统部演练后1个月内3防火墙策略管理混乱清理无效和冗余的防火墙规则；建立策略变更双人复核机制；在测试环境预演关键策略变更。网络中心运行部演练后2周内4核心数据备份验证不足修改备份策略，实施“每季度一次数据恢复演练”，确保备份不仅仅是“有”，而且是“可用”。网络中心系统部长期执行5勒索病毒专项防护缺失在核心服务器区部署勒索病毒专项诱捕系统（蜜罐），提前预警潜在攻击。网络中心安全部演练后3个月八、演练技术细节与防护建议为了提升文档的专业深度，以下补充针对校园办公系统防勒索病毒的具体技术建议，供后续制度建设参考：8.1网络架构层面微隔离：建议在数据中心内部部署微隔离技术。即使内网一台主机中毒，也无法横向移动到数据库或其他应用服务器。例如，禁止Web服务器直接访问数据库服务器的RDP端口，仅允许应用层端口通信。网络准入控制（NAC）：实施严格的NAC策略。任何接入校园网的终端，必须满足“杀毒软件运行正常、病毒库更新日期在7天内、系统补丁等级达标”三个条件，方可访问核心资源。8.2数据备份策略（3-2-1原则）校园关键数据必须严格遵循3-2-1备份原则，以应对勒索病毒加密备份文件的风险：3份数据副本：1份生产数据+2份备份数据。2种不同介质：例如，一份在磁盘存储阵列（NAS/SAN），一份在磁带库或离线硬盘。1份异地备份：通过专线或加密VPN，将关键数据同步备份到异地灾备中心或云端（需开启对象锁定WORM功能，防止被删）。8.3邮件安全网关优化针对本次演练的入口——钓鱼邮件，建议优化邮件网关配置：SPF/DKIM