performing-ransomware-tabletop-exercise

开展勒索软件桌面演练

何时使用

• 每年或在重大基础设施变更后，测试组织的勒索软件响应程序
• 验证赎金支付、监管通知和公开披露的决策流程
• 培训高管、IT、法务、公关和运营团队在勒索软件事件中的角色
• 满足网络保险保单对记录在案的事件响应测试的要求
• 识别恢复预案、沟通计划和备份程序中的差距

不要使用 作为技术控制测试的替代。桌面演练验证的是程序和决策，而不是技术检测或预防能力。

前提条件

• 已记录的事件响应计划（IRP），参与者应在演练前阅读
• 已确定演练参与者，来自：高管领导层、IT/安全、法务、沟通/公关、人力资源、运营和外部法律顾问
• 独立于 IR 团队的引导者（以提供客观评估）
• 设计为多轮次逐步升级注入的勒索软件场景
• 与 NIST CSF 响应/恢复功能一致的评估标准
• 会议室或虚拟会议，持续 2-4 小时且不受打扰

工作流

步骤 1：设计演练场景

基于当前威胁行为者的 TTP 构建真实场景：

场景结构：

Phase 1: Initial Detection (30 min)
  - SOC receives alert for suspicious process execution on file server
  - EDR detects Cobalt Strike beacon on 3 workstations
  - Inject: External threat intel report links C2 IP to LockBit affiliate

Phase 2: Escalation (30 min)
  - Ransomware executes on 40% of servers during overnight hours
  - Ransom note demands $2M in Bitcoin with 72-hour deadline
  - Inject: Attackers contact media claiming data theft of customer PII

Phase 3: Decision Points (45 min)
  - Backup assessment reveals immutable copies are intact but primary backups encrypted
  - Legal advises on breach notification timeline (72 hours GDPR, varies by US state)
  - Inject: Threat actor publishes sample of stolen data on leak site

Phase 4: Recovery and Communication (45 min)
  - Recovery time estimate: 5-7 days from immutable backups
  - Insurance carrier engages negotiation firm
  - Inject: Major customer threatens contract termination without update within 24 hours

可定制的场景变量：

• 威胁行为者组织和已知 TTP
• 基础设施被加密的百分比
• 备份是完好的、部分受损的，还是完全被破坏的
• 被窃取数据的类型（PII、PHI、财务、商业机密）
• 适用的监管框架（GDPR、HIPAA、PCI DSS、SEC 规则）
• 赎金金额和支付截止时间

步骤 2：准备演练材料

为参与者创建以下文档：

1. 演练概览简报 - 基本规则、目标、范围和参与者
2. 情况报告（SITREP） - 每个阶段一份，随演练进展分发
3. 注入卡 - 在特定时间引入的新信息，以强制做出决策
4. 决策点工作表 - 用于记录小组决策的结构化表格
5. 评估评分卡 - 评估响应质量的标准

应包含的关键决策点：

• 何时启动事件响应团队
• 是关闭系统还是选择性遏制
• 是否联系执法部门（FBI IC3、CISA）
• 是否支付赎金以及在什么条件下支付
• 何时以及如何通知监管机构、客户和公众
• 如何确定系统恢复顺序的优先级

第 3 步：主持演练

主持人职责：

• 呈现每个阶段的场景并分发 SITREP
• 在预定时间点引入注入，以增加压力
• 提出探询性问题，以检验决策推理
• 确保所有参与者小组都有贡献（防止 IT 部门主导）
• 记录所有决策、理由和行动项
• 跟踪时间管理（许多团队会在早期阶段耗费过多时间）

按阶段划分的探询性问题：

阶段 1 - 检测：

• 谁有权决定宣布发生事件？触发标准是什么？
• 我们如何根据初始告警确定失陷范围？
• 我们是否具备取证能力来开展调查，还是需要外部帮助？

阶段 2 - 升级：

• 我们对员工的沟通计划是什么？他们是否知道不要开启受影响的机器？
• 我们是否已隔离网络，以防止进一步加密？
• 谁有权批准会影响业务运营的系统关机？

阶段 3 - 决策：

• 在什么条件下我们会考虑支付赎金？
• 此时通知有哪些法律义务？
• 我们如何应对客户数据被公开泄露？

阶段 4 - 恢复：

• 恢复优先级顺序是什么？它是有文档记录的，还是临时决定的？
• 关键业务运营需要多久才能恢复？
• 为执法部门和保险需要保留哪些证据？

第 4 步：评估并给响应打分

根据既定标准对每个职能领域打分：

评估领域	分数（1-5）	标准
检测与升级		及时宣布事件、正确的指挥链
遏制		网络隔离、凭据重置、范围评估
沟通 - 内部		员工通知、高管简报、有记录的决策
沟通 - 外部		监管通知、客户沟通、媒体回应
恢复规划		备份验证、恢复优先级、RTO 跟踪
法律与合规		数据泄露通知时限、证据保留、执法部门参与
业务连续性		人工运营、客户影响缓解、收入损失估算
支付决策		结构化框架、法律审查、OFAC 制裁检查

第 5 步：记录发现与整改计划

在 5 个工作日内生成事后报告（AAR）：

AAR 内容：

1. 演练概览与目标
2. 场景摘要与注入
3. 作出的关键决策及理由
4. 观察到的优势
5. 识别出的差距及严重性评级
6. 整改行动及负责人和截止日期
7. 与以往演练结果的比较（如适用）

关键概念

术语	定义
桌面演练（TTX）	基于讨论的演练，参与者通过模拟事件场景来检验计划和程序
注入	在演练过程中引入的新信息，用于改变场景并迫使其作出更多决策
SITREP	情况报告，提供模拟事件在每个演练阶段的当前状态
事后报告（AAR）	演练后文档，记录发现、差距、优势和整改行动
双重勒索	勒索软件策略，攻击者既加密数据，又威胁公开窃取的数据，除非支付赎金
OFAC 检查	核实赎金支付收款人不在美国财政部 OFAC 制裁名单上，否则支付将违法

工具与系统

• CISA 桌面演练套件 (CTEPs)：CISA 提供的免费场景套件，专为关键基础设施行业设计
• FEMA 国土安全演练与评估计划 (HSEEP)：用于设计、开展和评估演练的方法论
• Immersive Labs：提供交互式网络危机模拟并实时评分的平台
• 桌面演练场景（来自英国 NCSC）：Exercise in a Box 工具，提供免费的引导式桌面演练
• 勒索软件准备度评估 (CISA)：用于评估勒索软件防范准备情况的自评估工具

常见场景

场景：医疗系统双重勒索演练

背景：一个由 5 家医院组成的医疗系统开展年度勒索软件桌面演练。上一次演练暴露了在 HIPAA 违规通知和临床系统恢复优先级方面的不足。今年的场景模拟了一次针对 EMR 系统的双重勒索攻击。

方法：

1. 基于 Cl0p MOO（托管运营操作者）TTP 设计场景：利用 MOVEit 漏洞进行初始访问，窃取 500,000 条患者记录，随后加密 EMR 数据库服务器
2. 参与者：CISO、CIO、CMO（首席医疗官）、总法律顾问、传播副总裁、临床运营总监、隐私官、外部 IR 公司代表
3. 第 1 阶段注入：EMR 系统宕机，急诊科将患者分流至邻近医院
4. 第 2 阶段注入：HHS OCR（民权办公室）就暗网上出现患者数据的报告联系该机构
5. 第 3 阶段注入：攻击者提供解密密钥样本，索要 350 万美元，限期 48 小时
6. 关键发现：该机构缺乏书面的赎金支付决策标准，且未预先确定符合 OFAC 规定的支付机制
7. 整改：建立支付决策框架，预先聘请勒索软件谈判公司，更新 HIPAA 违规通知程序并明确具体时限

陷阱：

• 设计不符合实际勒索软件 TTP 的不真实场景，降低演练可信度
• 任由技术团队主导演练，而业务和法律参与者保持被动
• 未测试沟通计划（许多机构在实际事件中才发现其通知名单已过时）
• 未跟进 AAR 中确定的整改措施，使演练价值大打折扣

输出格式

## Ransomware Tabletop Exercise - After Action Report

**Exercise Date**: [Date]
**Facilitator**: [Name]
**Scenario**: [Brief description]
**Duration**: [Hours]
**Participants**: [Count by department]

### Exercise Objectives
1. [Objective] - Met / Partially Met / Not Met
2. [Objective] - Met / Partially Met / Not Met

### Key Decisions Log
| Time | Decision Point | Decision Made | Rationale | Assessment |
|------|---------------|--------------|-----------|------------|

### Strengths Observed
1. [Strength]

### Gaps Identified
| Gap | Severity | Affected Area | Current State | Desired State |
|-----|----------|--------------|---------------|---------------|

### Remediation Actions
| Action | Owner | Deadline | Priority | Status |
|--------|-------|----------|----------|--------|

### Comparison to Previous Exercise
| Area | Previous Score | Current Score | Trend |
|------|---------------|--------------|-------|