# 面向管理团队的勒索软件桌面推演 https://zh.kinlevi.com/resources/ransomware-tabletop-exercise 此原创场景用于检验不确定条件下的协调方式，发现权限缺口、缺乏证据的假设及恢复依赖。会议中达成一致说明进行了讨论，但不能证明技术控制或恢复流程实际有效。 ## 准备会议 - 指定一名主持人发布场景更新，并由观察员记录参与者实际采取的行动。覆盖事件协调、安全、平台运维、业务负责和沟通职责。 - 选定一个服务及本次演练使用的响应计划版本。准备决策矩阵、联系人列表和依赖关系图，并使用虚构名称和材料。 - 建议预留约90分钟：10分钟确认范围、60分钟进行四轮讨论、20分钟复盘。按目标调整节奏，不要只以速度评价参与者。 ## 演练边界与停止条件 - 这是讨论式演练。不要为模拟场景而更改真实访问权限、执行程序、发送对外消息或使用真实客户记录。 - 如果拟议行动涉及真实系统或超出约定范围，任何参与者都可以要求暂停。确认边界后再继续。 - 若发生真实运营事件，应停止演练并启用实际响应流程。明确标记演练笔记和模拟消息。 ## 虚构的初始情况 一家B2B供应商在交付高峰期依赖订单确认服务。客户报告失败，员工无法确定哪些订单已经被接受。原因和影响范围尚不清楚。以下更新均为主持人提供的虚构演练材料，并非对真实组织的观察。 ## 服务、参与者与演练范围 记录服务、计划版本、主持人、观察员、参与角色及约定边界。 [演练期间填写] ## 按顺序发布场景更新 每次打开一轮。15分钟分段仅用于主持安排，并非响应时限。进入下一轮前，记录所选行动、决策权限、现有证据和下一步核查。 ### 00 min — 服务中断 订单服务不可用。支持团队收到三起客户报告，但没有可靠的受影响订单数量。通常负责事件的人无法联系。 - 谁宣布事件、负责协调并启用替代负责人？ - 选择人工处理订单或暂停新订单前，需要了解什么？ #### 决策、权限与理由 作出了什么选择，由哪个获授权角色决定，有哪些替代方案和客户后果？指出下一步行动的负责人。 [演练期间填写] #### 证据缺口与下一步核查 区分提供的事实、参与者假设及缺失证据。记录核查事项、责任人，以及必须在哪次决策前完成。 [演练期间填写] ### 15 min — 未经核实的勒索声明 主持人展示一份模拟勒索通知和一条异常特权会话报告。目前尚无证据证明数据被盗或确定全部访问范围。 - 哪些遏制行动已经获授权，行动可能消除哪些证据？ - 由谁评估声明，并在真伪不明时保持客户沟通准确？ #### 决策、权限与理由 作出了什么选择，由哪个获授权角色决定，有哪些替代方案和客户后果？指出下一步行动的负责人。 [演练期间填写] #### 证据缺口与下一步核查 区分提供的事实、参与者假设及缺失证据。记录核查事项、责任人，以及必须在哪次决策前完成。 [演练期间填写] ### 30 min — 恢复依赖 备份清单列出一份近期副本，但本次演练未展示其恢复过程。恢复还依赖一个可信度正被质疑的身份服务。运维团队要求尽快重启。 - 恢复身份、数据和服务之前需要哪些证据？ - 谁接受受限运行，什么监控或回滚条件会要求停止？ #### 决策、权限与理由 作出了什么选择，由哪个获授权角色决定，有哪些替代方案和客户后果？指出下一步行动的负责人。 [演练期间填写] #### 证据缺口与下一步核查 区分提供的事实、参与者假设及缺失证据。记录核查事项、责任人，以及必须在哪次决策前完成。 [演练期间填写] ### 45 min — 沟通压力 一家重要客户要求提供恢复时间，一名记者引用了一张未经核实的截图。下一班团队即将接手，但决策记录不完整。 - 谁批准一份说明影响和不确定性、避免无依据承诺的更新？ - 哪些决策、承诺和证据必须交接给下一班及管理负责人？ #### 决策、权限与理由 作出了什么选择，由哪个获授权角色决定，有哪些替代方案和客户后果？指出下一步行动的负责人。 [演练期间填写] #### 证据缺口与下一步核查 区分提供的事实、参与者假设及缺失证据。记录核查事项、责任人，以及必须在哪次决策前完成。 [演练期间填写] ## 将复盘转化为后续行动 ### 观察到的优势与缺口 区分在讨论中展示、仅被口头陈述及未涉及的内容。引用记录或观察到的行动，避免缺乏依据的准备度评分。 [演练期间填写] ### 整改行动与验证 为每个缺口记录责任人、下一步行动、期限及完成证明，持续展示尚未解决的依赖。 [演练期间填写] ### 再次演练的条件 明确哪些变更或整改完成后需要再次演练，以及届时必须证明什么，并约定跟进责任人。 [演练期间填写] 讨论结论不能证明真实事件中的恢复、检测或沟通一定有效。应通过另行授权的测试核实技术主张。保存下载的记录，并在宣布整改完成之前审查其结果。 ## 方法与参考资料 这是附有演练设计一手参考资料的原创场景与工作表，并非 CISA 或 NIST 官方演练包。 - [CISA — Tabletop Exercise Package Documents](https://www.cisa.gov/resources-tools/resources/ctep-package-documents) - [NIST SP 800-84 — Test, Training, and Exercise Programs](https://csrc.nist.gov/pubs/sp/800/84/final) - [NIST SP 800-61 Rev. 3 — Incident Response Recommendations](https://csrc.nist.gov/pubs/sp/800/61/r3/final)