应急响应（面试）

GhostPetya勒索病毒

该怎么做：

1）未部署端点安全的终端应急解决方案

1做好重要文件的备份工作(非本地备份）。
3利用系统防火墙高级设置阻止向445端口进行连接(该操作会影响使用445
2开启系统防火墙。
端口的服务）。
4打开系统自动更新，并检测更新进行安装。
5停止使用WindowsXP、Windows 2003等微软已不再提供安全更新的操作
系统。
6如无需使用共享服务建议关闭该服务。

2）已部署端点安全的终端应急解决方案

①如果用户已经部署终端管理类产品，可通过终端管理软件进行内网打补丁。
②通过主机防火墙关闭入栈流量。主机防火墙关闭到445出栈流量。
③ 开启文件审计，只允许word.exe，explorer.exe等对文件访问。

3）已经感染应急解决方案

1）断开网络连接，阻止进一步扩散。优先检查未感染主机的漏洞状况（可直接联系网御星云公司，提供免费检测工具使用），做好漏洞加固工作后方可恢复网络连接。
2）已经感染终端，根据终端数据类型决定处置方式，如果重新安装系统则建议完全格式化硬盘、使用新操作系统、完善操作系统补丁、通过检查确认无相关漏洞后再恢复网络连接

4)预防措施：

1、打补丁：及时给系统打补丁，修复漏洞。
2、装杀软：安装杀毒软件，及时更新病毒库。开启防火墙，并升级到最新版本阻止勒索病毒与其C&C服务器通信。
3、做备份：定期对重要文件以及数据库做非本地备份。电脑开启系统备份，并添加保护（这样可通过卷影备份将系统恢复到被加密之前的状态）。
4、备份恢复：如果事先已对关键文件做了备份，在确保已清除病毒情况下可做数据备份恢复。如果卷影备份未被勒索病毒删除，可通过卷影备份将系统恢复到
   未感染勒索病毒的时间点。
5、改密码：使用长度大于10位的复杂密码。
6、加限制：禁用GUEST来宾用户。尽量不要使用局域网共享，或把共享磁盘设置为只读属性，不允许局域网用户改写文件。尽量关闭不必要的端口，如：445、