场景：2026年9月，某省级三甲医院影像归档系统（PACS）遭Sorry勒索变种加密，值班SOC在03:17收到EDR连续加密告警，触发应急响应。
攻击 / 事件时间线
告警触发与初步研判
03:17，EDR平台对PACS应用服务器连续弹出137条文件加密行为告警，触发“勒索软件行为”规则集。值班工程师立即查看告警详情，发现进程为svchost.exe异常调用vssadmin.exe delete shadows，且文件扩展名批量变为.sorry。同时，Sysmon日志显示该进程在5分钟内创建了超过2000个文件句柄。初步判定为勒索软件正在执行加密，立即启动应急预案。
EDRSysmonSysinternals
隔离与止血
03:21，通过EDR平台对受感染主机执行网络隔离（仅保留管理通道），并下发策略阻断SMB和RDP出站。03:24，使用EDR的“进程终止”功能结束恶意进程树，同时通过防火墙策略阻断该网段对文件服务器的访问。03:28，检查备份系统，确认最近一次可用备份为2小时前，决定暂不恢复，优先排查横向移动痕迹。
EDR防火墙备份系统
溯源与清除
03:35，提取恶意样本并上传至沙箱，确认其为Sorry勒索变种，通过钓鱼邮件附件投递，利用CVE-2026-XXXX漏洞获取初始访问。03:42，使用YARA规则在全网扫描，发现另外2台主机存在相同载荷，立即隔离。03:50，通过EDR下发脚本清除恶意计划任务和注册表启动项，并重置受影响账户密码。
沙箱YARAEDR
恢复与验证
04:05，从备份系统恢复PACS应用服务器数据，优先恢复影像数据库。04:15，验证业务功能正常，并部署EDR自定义规则监控.sorry扩展名和vssadmin滥用行为。04:26，解除隔离，持续监控24小时。
备份系统EDR
蓝队视角 · 发现与处置
SOC值班工程师在收到EDR告警后，迅速启动“勒索软件应急响应预案”，按照“隔离-阻断-清除-恢复”流程操作。通过EDR平台远程隔离受感染主机，并利用防火墙策略阻断横向传播路径。同时，溯源发现钓鱼邮件入口，全网扫描清除残留载荷。整个处置过程在69分钟内完成，未造成数据泄露，业务恢复至RPO=2小时。
涉及关键技术 / 工具
EDR行为检测规则：监控文件批量加密、卷影副本删除等勒索典型行为Sysmon日志分析：通过进程创建、文件写入事件快速定位恶意进程YARA规则全网扫描：基于样本特征快速发现其他受感染主机
防护经验总结
- 部署EDR并启用勒索软件行为防护规则，配置自动隔离策略，缩短响应时间
- 定期验证备份可恢复性，确保RPO≤2小时，并隔离备份网络
- 对全员开展钓鱼邮件演练，并在邮件网关启用附件沙箱检测，阻断初始投递
#勒索软件#应急响应#EDR#备份恢复