企业员工勒索病毒防范与应急培训

20XX/XX/XX企业员工勒索病毒防范与应急培训汇报人:XXXCONTENTS目录01

培训开篇介绍02

认识勒索病毒03

勒索病毒的识别方法04

勒索病毒日常防范要点05

中毒后的应急处置流程06

事后复盘与优化培训开篇介绍01掌握病毒识别能力帮助员工准确识别钓鱼邮件、可疑链接等勒索病毒传播载体，降低企业中招概率。建立规范应急流程让员工明确中招后的上报、处置步骤，避免错误操作导致病毒扩散造成更大损失。强化安全防范意识纠正员工“病毒防范是IT部门事”的错误认知，推动全员参与企业网络安全防护。培训目标与意义典型案例警示

美国ColonialPipeline勒索攻击事件2021年该运营商遭攻击被迫停运，支付近440万美元赎金，严重影响美国东海岸燃油供应。

富士康委内瑞拉厂区勒索病毒事件厂区系统遭LockBit勒索病毒加密，攻击者索要超3000万元赎金，导致厂区生产一度暂停。

携程员工误点钓鱼链接致数据加密事件2023年员工误点带毒附件，部分业务系统被加密，企业因提前备份未支付赎金。认识勒索病毒02勒索病毒的定义恶意加密类勒索病毒定义是通过加密用户电脑终端文件，索要赎金换取解密密钥的恶意计算机病毒。数据泄露类勒索病毒定义窃取终端数据后公开泄露要挟用户支付赎金，不加密本地文件的新型恶意病毒。双重勒索类勒索病毒定义同时加密用户本地文件并窃取核心数据，双重索要赎金的复合型勒索病毒。钓鱼邮件附件黑客将勒索病毒封装成发票、简历类附件，员工误点击下载后，设备就会被病毒感染。不安全软件下载员工从非官方网站下载破解软件，勒索病毒常捆绑其中，安装后就会入侵企业系统。U盘等移动介质传播员工随意接入外部U盘，带毒U盘在企业设备传输文件时，就会让病毒扩散感染系统。漏洞利用传播企业系统未及时修复安全漏洞，黑客会利用漏洞植入勒索病毒，窃取并加密企业数据。常见传播途径勒索病毒的识别方法03异常文件特征识别

扩展名异常的文件同一文件出现双后缀，比如命名为“工资表.doc.exe”，这类文件大概率携带勒索病毒。

陌生加密文件原本可正常打开的文档突然无法读取，文件后缀变为.xyz等陌生后缀，多是勒索病毒加密所致。

文件大小异常文件相同类型文件中，该文件体积明显偏离正常大小，多是因为勒索病毒代码嵌入导致异常。异常系统症状识别

文件后缀异常更改不少用户打开U盘或本地文件夹后，发现原有文件后缀被改为.xyz等陌生后缀，无法正常打开。

系统运行卡顿异常感染勒索病毒后，病毒会后台加密文件占用大量资源，电脑会出现明显卡顿、反应迟缓的情况。

文档莫名无法打开双击原本正常的办公文档时，弹窗提示文件已损坏或格式不支持，这是勒索病毒加密后的典型表现。

桌面弹出勒索提示开机后桌面出现陌生文本或网页弹窗，要求支付比特币赎金才能解锁文件，这是中锁勒索病毒的直接特征。陌生钓鱼邮件识别陌生邮件若含不明链接、异常附件，需提高警惕，2017年WannaCry勒索病毒便曾借邮件扩散。伪造办公文档识别部分勒索病毒会伪装成报销通知、合同等办公文档，后缀伪装成doc实际为exe格式。恶意压缩包识别职场中收到的陌生压缩包常藏勒索病毒，双击解压后病毒会快速入侵公司办公系统。常见钓鱼载体识别伪装软件识别

办公插件类伪装很多勒索病毒会伪装成OfficePDF插件，诱导用户下载安装，进而加密设备文件。

破解工具类伪装勒索病毒常伪装成热门办公软件的破解激活工具，用户运行后就会感染病毒。

常用软件类伪装勒索病毒会伪装成微信、腾讯会议等常用办公软件安装包，用户解压运行后即中招。勒索病毒日常防范要点04网络访问安全规范

陌生链接识别与规避陌生邮件、社交软件中的未知链接不要随意点击，比如钓鱼邮件附件链接容易植入勒索病毒。

公共网络使用限制不处理敏感工作信息，避免不法分子通过不安全公共WiFi窃取数据加密勒索。

正规网站访问要求仅访问企业认证的正规官方站点，不要点击色情、福利弹窗类网站，这类网站常挂木马。本地异地多介质备份企业员工可同时在本地硬盘、U盘和移动硬盘备份文件，避免单一存储损坏丢失数据。定期自动定时备份可使用Windows自带的文件历史功能，每周自动增量备份关键文档，减少人工遗漏。云端加密备份员工可借助百度网盘、阿里云盘等平台，加密备份重要文件，避免本地设备中毒丢文件。文件备份操作方法软件与账户安全管理01不随意下载非官方软件企业员工应只从官方渠道下载办公软件，避免从陌生网站下载，防止软件捆绑恶意勒索程序。02定期更新系统与应用补丁及时更新操作系统和办公软件补丁，可修复已知安全漏洞，切断勒索病毒入侵的常见路径。03设置强密码并定期更换设置包含字母、数字和符号的组合密码，不重复使用密码，降低勒索病毒窃取账户权限的风险。04不共享敏感办公账户信息员工不随意向他人透露办公系统账户密码，不共享特权账户，避免入侵者投放勒索病毒。可疑文件处理规范陌生来源附件处理收到邮箱、聊天工具中陌生人发送的附件，不要直接打开，先使用杀毒软件全盘扫描检测。未知格式后缀文件处理遇到.exe、.bat等可执行后缀或者双重后缀的未知文件，不要打开，直接删除避免中毒。可疑压缩文件处理来历不明的压缩包不要解压，这类压缩包常藏勒索病毒，删除后清空回收站即可。共享文件夹可疑文件处理企业局域网共享文件夹中出现陌生可疑文件，不要点击，通知IT部门排查后处理。中毒后的应急处置流程05第一时间断网操作

拔掉设备网线发现设备感染勒索病毒后，第一时间拔掉网线切断物理网络，避免病毒横向扩散感染其他设备。

断开无线WiFi连接如果是笔记本等无线接入设备，立刻断开WiFi连接，切断病毒向企业内网传播的路径。

关闭共享网络权限若设备开启了文件共享，快速关闭所有共享权限，防止病毒加密共享盘中的其他企业文件。感染范围排查方式终端设备全量扫描借助企业终端安全管理工具，对所有办公电脑、笔记本逐一扫描，确认是否被病毒加密篡改。服务器与存储设备排查检查文件服务器、共享存储中的文档是否后缀异常，核实核心业务服务器是否被病毒侵入。网络连接路径溯源梳理已感染设备的网络访问记录，排查同网段内存在感染风险的设备，锁定传播路径。正确上报流程

初步信息整理上报发现感染勒索病毒后，第一时间整理感染范围、病毒类型等信息，上报给企业IT部门。

逐级审批通报IT部门初步核实后，按企业制度逐级上报管理层，同时同步告知风险影响范围。

必要情况外部上报若涉及大量核心数据泄露，及时向监管部门上报，配合公安网安部门开展调查。不要盲目付费解密

解密成功率无法保障多数勒索病毒解密后仍会损坏数据，且攻击者拿到钱后经常失联，无法拿到密钥。会助长勒索攻击产业链企业付费会让攻击者尝到甜头，吸引更多黑客发起攻击，加剧网络攻击风险。存在二次泄密风险攻击者会将企业已泄露数据留存，付费后仍可能对外兜售或公开这些数据。可能违反监管规定部分行业合规要求禁止向黑客支付赎金，盲目付费会面临监管处罚风险。事后复盘与优化06终端漏洞未及时修复很多企业员工未开启系统自动更新，致使永恒之蓝等勒索病毒通过未修复漏洞入侵系统。钓鱼邮件点击失误伪装成业务通知的钓鱼邮件夹带病毒附件，员工点击后导致企业内网被勒索病毒入侵。外来存储设备未查杀部分员工随意插入U盘、移动硬盘等外接设备，未做病毒查杀就接入企业办公设备引发感染。梳理感染原因完善防