【项目背景】
九原区一家贸易公司，周三早上全员电脑弹窗被锁，财务共享盘里的Excel全变成了*.lockbit后缀，勒索信息索要0.3个比特币。老板第一反应是交钱，我到场第一句话：先别付，先断网，全公司网线全部拔掉。数据能不能救回来另说，但交钱这个选项十次里有九次是既丢钱又丢数据。
【咨询设计】
很多客户觉得勒索病毒是"运气差中招"，实际上是防护链有明确缺口。溯源结果：感染源是财务主管电脑，三天前开过一封带"发票核对"附件的钓鱼邮件，木马横向移动走的是共享盘的域账号权限+内网SMB协议。数据侧的救命稻草：共享盘所在服务器（Windows Server 2016）开启了卷影副本（VSS）每日快照，感染发生在最后一次快照之后约四小时，我们先把系统盘做只读镜像再操作，最终从快照恢复了92%的文件，剩余部分从财务个人电脑的本地缓存里又找回来一部分。服务器的两个磁盘阵列（RAID1+RAID5）完整无损，这得感谢三年前我们坚持让他们把业务盘和文档盘分开。
【施工规划】
应急处置按流程走：第一步全网断网保住未感染机器；第二步逐台排查感染面，五台中招机器全部隔离重装，绝不抱侥幸心理"清一下继续用"——加密型勒索的残留后门清不干净；第三步改密码，全公司域账号、共享盘账号、服务器账号一次全部重置，攻击者手里有没有凭据谁也不敢赌；第四步重建共享盘服务器，数据恢复后挂载验证。整个过程持续26小时。
【安全补丁】
免疫方案三件套：一是影子备份，文件服务器VSS快照改成每小时一次，保留14天版本，另配一台异机NAS做每日增量+每周一次离线冷备（备份完自动拔网线，勒索病毒摸不到冷备盘）；二是封堵横向路径，全内网禁用不必要的SMB共享、关闭445端口跨网段访问，终端统一装EDR并开勒索行为诱饵文件检测；三是人防，全员防钓鱼培训一轮，财务部单独加练——财务是钓鱼邮件的头号目标，这点必须刻进肌肉记忆。
【验收交付】
恢复数据清单当面清点签收，业务周四下午恢复运转。交付应急处置报告、备份策略文档和防钓鱼培训记录，等保测评时这份应急档案还派上了用场。
【售后承诺】
应急响应一年保障期，备份系统每季度演练一次。大年三十中毒也照接——17704868686，2小时上门，终身技术咨询不收费。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）