2026年勒索病毒应急处置操作考试题

2026年勒索病毒应急处置操作考试题一、单项选择题（每题2分，共15题，30分）1.发现服务器疑似感染勒索病毒后，下列第一步处置措施最合适的是？A.立即重启服务器B.断开网线或禁用网卡进行隔离C.立即格式化硬盘D.直接切断电源答案：B解析：重启可能使加密进程继续执行或破坏内存中的证据；格式化硬盘会彻底灭失取证条件；直接断电虽能阻断传播，但会丢失易失性内存数据。首要动作应是断网隔离。2.勒索病毒在内网横向传播时，最常利用以下哪个协议漏洞（如"永恒之蓝"）？A.RDPB.SMBC.SSHD.Telnet答案：B解析："永恒之蓝"针对的是Windows的SMBv1远程代码执行漏洞，勒索病毒（如WannaCry）借此在内网批量扩散。3.下列关于支付赎金的说法，正确的是？A.支付赎金后一定能成功解密数据B.支付赎金并不保证数据恢复，且可能助长勒索犯罪C.支付赎金是最稳妥的数据恢复方式D.支付赎金后病毒会自动清除答案：B4.应急响应中的"第一时间"通常指？A.发现事件后24小时内B.发现事件后72小时内C.发现事件后立即响应处置D.事件造成业务中断后答案：C5.下列哪项不是勒索病毒加密文件后常见的特征？A.文件扩展名被修改或追加后缀B.文件内容变为密文，无法正常打开C.部分家族会将文件名随机化重命名D.文件大小明显增大数倍且内容可正常打开答案：D解析：加密不会使文件体积成倍增大，且内容无法正常打开。若文件可正常打开，说明尚未被真正加密。6.对感染主机开展取证时，以下哪类数据应最先提取？A.硬盘中已删除的文件B.内存中的进程、网络连接与密钥信息C.用户桌面的文档D.历史系统日志答案：B解析：内存数据易失性最高，关机或重启即丢失，且勒索病毒的加密密钥可能仍残留在内存中，必须第一时间提取内存镜像。7.勒索病毒加密文件时，通常会优先加密哪类文件？A.Windows系统文件B.文档、图片、数据库等用户数据文件C.杀毒软件程序文件D.系统日志文件答案：B解析：勒索病毒以索财为目的，优先加密业务文档与数据库，使受害者业务瘫痪、施压效果最大化。8.企业防御勒索病毒最有效的措施是？A.同时安装多款杀毒软件B.定期离线备份重要数据并验证恢复C.限制全体员工访问互联网D.关闭服务器所有端口答案：B9.某主机文件被加密为后缀.encrypted，桌面出现勒索信，正确的做法是？A.按信中指示联系攻击者B.将勒索信与加密样本提交安全团队分析C.自行下载来路不明的"解密工具"运行D.立即删除所有被加密文件答案：B10.勒索病毒攻击中，RDP弱口令暴力破解属于哪一类入侵方式？A.钓鱼邮件投递B.漏洞利用传播C.远程登录口令爆破D.供应链投毒答案：C11.处置勒索病毒事件时，下列哪项操作可能导致证据灭失？A.对感染主机进行内存镜像B.对感染主机直接执行杀毒查杀C.记录主机时间与系统信息D.复制勒索信内容留档答案：B解析：杀毒查杀会删除或修改恶意程序本体，破坏原始证据。正确顺序是先取证、后清除。12.勒索病毒常见的初始入侵入口不包括？A.钓鱼邮件恶意附件B.对外开放的RDP弱口令C.软件供应链投毒D.机房精密空调故障答案：D13.从防勒索角度看，下列备份方式中可靠性最高的是？A.与生产服务器同机的双硬盘副本B.按3-2-1原则实施的异地离线备份C.实时同步至同一存储阵列的另一逻辑卷D.实时同步至公共网盘答案：B解析：勒索病毒会加密所有在线可达的数据并删除卷影副本。异地离线备份不受感染影响，恢复可靠性最高。14.企业发生勒索病毒事件后，向公安机关报案应联系哪个部门？A.工商管理部门B.公安网安部门C.通信管理局D.市场监管部门答案：B15.下列哪项不属于勒索病毒应急响应流程的典型阶段？A.检测与确认B.隔离与遏制C.清除与恢复D.定期更换机房硬件设备答案：D二、多项选择题（每题3分，共5题，15分）1.发现主机感染勒索病毒后，下列处置措施正确的有？A.立即断网隔离B.对主机进行内存镜像取证C.不重启、不关机D.立即删除全部被加密文件以释放空间答案：ABC解析：断网隔离可阻断扩散与C2外联；内存镜像为易失性证据保全；不重启不关机保护现场。删除被加密文件会使病毒样本灭失，妨碍溯源分析，属于错误操作。2.下列属于勒索病毒典型传播方式的有？A.钓鱼邮件携带恶意附件B.RDP弱口令暴力破解C.利用系统漏洞自动横向传播D.通过移动存储介质摆渡传播答案：ABCD3.针对已确认感染的主机，应急响应中应采取哪些遏制措施？A.断开网络连接实施隔离B.关闭SMB、RDP等高危服务与端口C.修改域管理员及本地管理员口令D.保持主机正常运行以观察病毒行为答案：ABC解析：D项会使病毒继续加密文件并扩大扩散范围，与遏制目标相悖，应立即隔离而非"观察"。4.关于勒索病毒的技术特性，下列说法正确的有？A.通常采用混合加密体制，对称密钥加密文件、非对称密钥保护对称密钥B.部分勒索病毒会删除卷影副本以阻碍数据恢复C.勒索病毒只加密文件，不会窃取数据D.新型勒索病毒存在"双重勒索"，先窃取数据再加密答案：ABD解析：C项错误。近年来大量勒索家族在加密前批量窃取敏感数据，形成"双重勒索"模式。5.事件处置结束后的复盘总结阶段，应包括哪些工作？A.分析入侵路径与事件根因B.评估影响范围与损失C.整改安全漏洞并开展加固D.修订应急预案并组织演练答案：ABCD三、判断题（每题1分，共10题，10分）1.发现勒索病毒后重启计算机，即可清除病毒并恢复被加密的文件。答案：错误2.在网络上搜索到声称可解密该勒索病毒的"免费工具"，可直接下载运行。答案：错误解析：来路不明的"解密工具"可能捆绑木马或二次勒索软件，应先核实来源，优先使用安全厂商官方发布的解密工具。3.支付赎金是恢复被加密数据最可靠的方式。答案：错误4.发现勒索病毒后，应立即对感染主机进行断网隔离，防止横向扩散。答案：正确5.勒索病毒加密文件时通常会修改文件扩展名。答案：正确6.只要安装了杀毒软件，就能完全防范勒索病毒。答案：错误解析：杀毒软件无法覆盖未知新型变种与社工钓鱼攻击，防勒索还需结合补丁管理、访问控制与可靠备份。7.3-2-1备份原则是指至少3份数据副本、2种不同存储介质、1份异地或离线存放。答案：正确8.勒索病毒加密过程中，内存中可能残留加密密钥，因此应对感染主机进行内存取证。答案：正确9.发现勒索病毒后，应第一时间删除被加密的文件以减少损失。答案：错误解析：被加密文件是分析病毒家族、识别加密算法的重要样本，贸然删除将丧失关键取证条件。10.勒索病毒只攻击Windows系统，不会感染Linux服务器。答案：错误四、简答题（每题5分，共5题，25分）1.简述发现勒索病毒后的应急处置流程（至少列出5个步骤）。答案：（1）隔离断网：断开感染主机网线或禁用网卡，阻断病毒外联与横向扩散。（2）保护现场：不重启、不关机、不删除或修改任何文件，防止证据灭失。（3）调查取证：提取内存镜像、勒索信、被加密文件样本及系统与安全日志。（4）分析研判：通过样本哈希、特征串与行为分析，确认勒索病毒家族、加密算法及入侵途径。（5）清除恢复：清除恶意程序、修补漏洞与弱口令后，使用可靠备份恢复业务数据。（6）整改复盘：向主管部门报告，开展根因分析、安全加固并更新应急预案。2.什么是"双重勒索"？请简述其含义。答案：双重勒索（DoubleExtortion）指攻击者先窃取受害者的敏感数据，再对数据进行加密并勒索赎金；若受害者在限期内不支付，攻击者将公开或出售窃取的数据。这样既利用"数据不可用"施压，又利用"数据泄露"施压，进一步抬高勒索成功率。3.简述应急响应过程中不建议支付赎金的理由。答案：（1）支付赎金不保证能够成功解密，部分攻击者收款后失联或交付无效解密工具。（2）支付赎金会助长勒索病毒黑色产业链，使企业沦为被反复攻击的目标。（3）数据可能已被窃取，支付赎金并不能消除数据泄露的风险。（4）部分行业监管与合规要求对支付赎金有限制，支付行为可能带来合规风险。4.列举至少4种勒索病毒常见的传播或入侵途径。答案：钓鱼邮件（恶意附件或链接）、RDP等远程登录弱口令暴力破解、系统与应用程序漏洞利用（如"永恒之蓝"）、恶意网站与挂马网页、软件供应链投毒、移动存储介质交叉使用。5.简述3-2-1备份原则的含义及其对防勒索工作的意义。答案：3-2-1备份原则指：重要数据至少保留3份副本，使用2种不同的存储介质，其中1份存放在异地或离线环境。勒索病毒会加密所有在线可达的数据并删除系统卷影副本，而异地离线备份不受感染影响，可在加密事件后可靠恢复数据，从而显著降低企业支付赎金的必要性。五、案例分析题（每题10分，共2题，20分）1.某企业财务人员张某收到一封标题为"工资表2026年3月.xls.exe"的邮件，打开后电脑开始大量读写磁盘，随后共享目录中的文件扩展名陆续变为.lock，桌面出现勒索信。数小时后，内网多台服务器的文件也被加密。问题：（1）该事件最可能的初始入侵途径是什么？（2）作为应急响应人员，请列出应急处置的前三步操作及其目的。（3）如何阻止病毒在内网继续横向扩散？答案：（1）最可能的初始入侵途径是鱼叉式钓鱼邮件。附件"工资表2026年3月.xls.exe"是典型的可执行文件伪装成文档，诱导员工点击执行，从而下载运行勒索病毒。（2）三步操作及目的：第一步，立即断开张某电脑的网线和网络连接，阻断病毒继续加密文件、连接C2服务器并向内网其他主机扩散；第二步，保护现场并取证，不关机、不重启，第一时间提取内存镜像、勒索信、加密样本与相关日志，为病毒家族识别和溯源保留证据；第三步，在交换机侧对感染主机实施隔离，并临时关闭SMB（445）等高风险端口、阻断相关网段互访，防止病毒经内网进一步横向传播。（3）阻止横向扩散的措施：-全网排查其他感染主机并按网段隔离，切断传播链路；-关闭445/139等SMB端口及不必要的RDP对外映射，修复"永恒之蓝"等漏洞并安装补丁；-重置所有域账户与本地管理员口令，启用多因素认证；-使用EDR或杀毒软件对全网开展查杀，清除恶意载荷；-恢复业务前，从离线备份验证数据的完整性与可用性。解析：本题综合考察勒索病毒攻击链识别与实战处置能力。钓鱼邮件伪装附件是勒索病毒最常用的初始入口；处置顺序必须遵循"先隔离、再取证、后恢复"，对感染主机盲目重启、杀毒或删除文件都会破坏证据或加速扩散；横向阻断的关键在于切断SMB、RDP等传播链路并及时更新凭据。2.某公司核心数据库服务器被勒索病毒加密，运维人员发现时病毒已活跃约6小时。当前备份策略为：每日凌晨2点将数据库备份至服务器本地磁盘。问题：（1）该备份策略存在哪些缺陷？（2）请给出恢复数据库的最优方案，并说明理由。（3）事后应从哪些方面开展安全整改？答案：（1）缺陷：-备份文件与生产数据存储在同一台服务器本地磁盘，勒索病毒可同时加密备份文件并删除卷影副本，备份不具备抗勒索能力；-每日仅备份一次，备份间隔长达24小时，病毒活跃6小时期间产生的数据无法通过该备份完整恢复；-缺少异地、离线副本，且未定期开展备份恢复验证。（2）恢复方案：首先检查本地备份文件是否被加密及其完整性。若本地备份完好，应先清除病毒、修补入侵点，再将数据库恢复到最近一次备份时间点，并利用数据库事务日志或归档日志进行前滚恢复，最大限度找回6小时内的数据增量；若本地备份已被加密且无其他可用副本，可尝试安全厂商官方解密工具或专业数据恢复手段，但不建议支付赎金。理由：优先选用完整性最高的备份并结合日志前滚，可兼顾数据完整性与恢复时效；支付赎金无法保证解密成功，不应作为首选方案。（3）整改方向：-按3-2-1原则