[TOC] ## 事件处置流程 ~~~ 1、勒索病毒判定 对感染了勒索病毒的主机进行查看，查看病毒类型，以及感染文件后缀名 2、系统排查隐藏账户 net user 用户管理 注册表 3、网络排查 netstat -ano 4、通过PID 查看程序执行目录 wmic process where processid=2984 get name,executablepath 5、查看可疑IP 在线威胁情报中心 6、事件抑制 1、隔离问题主机，断开网络连接，尽量关闭外部连接 2、将135，139，445端口关闭，封堵非业务端口 3、将服务器/主机密码全部更改为复杂的高强度的密码 4、安装安全补丁，尤其是 MS17-010 漏洞的补丁 7、根除与恢复 1、终端安全企业级防病毒软件 2、使用流量监控设备进行内网流量监控 3、出口防火墙封堵可疑地址 ~~~ ## 勒索病毒在线查询与解密 ~~~ • 360安全：https://lesuobingdu.360.cn/ • 奇安信：https://lesuobingdu.qianxin.com/ • 腾讯：https://guanjia.qq.com/pr/ls/ • 深信服：https://edr.sangfor.com.cn/#/information/ransom_search ~~~