mcpField
T
testing-ransomware-recovery-procedures

testing-ransomware-recovery-procedures

github.com/mukul975安全35.2k113 次安装8 周前更新
代码仓库

关于 testing-ransomware-recovery-procedures

该技能通过隔离环境中的恢复测试、桌面演练或实战演练，验证勒索软件恢复计划。它帮助恢复与安全团队衡量 RTO 和 RPO、检查恢复的数据与应用并记录准备度差距；不适用于正在发生的事件响应。

主要功能

  1. 01按系统层级和恢复目标确定测试范围
  2. 02准备隔离的恢复环境
  3. 03测量恢复和服务还原时间
  4. 04验证恢复的数据与应用
  5. 05检查恢复后的安全控制
  6. 06记录 RTO/RPO 差距

适用场景

  1. 01模拟加密后测试备份还原
  2. 02依据业务 RTO/RPO 目标衡量恢复
  3. 03开展勒索软件恢复演练
  4. 04审计灾难恢复准备情况

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill testing-ransomware-recovery-procedures

安装后在 Claude Code 中输入/testing-ransomware-recovery-procedures确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

测试勒索软件恢复流程

何时使用

在以下情况使用本技能：

  • 验证勒索软件恢复计划在真实条件下确实有效
  • 对照业务需求衡量 RTO（恢复时间目标）和 RPO（恢复点目标）
  • 测试备份恢复操作，以确认在模拟加密后的数据完整性和完整性
  • 针对勒索软件场景开展桌面演练或实时恢复演练
  • 作为合规或网络保险要求的一部分，审计灾难恢复准备情况

不要在勒索软件攻击正在进行时用于主动事件响应。请改用专门的 IR 手册。

前提条件

  • 隔离的恢复测试环境（气隙隔离或网络分段实验室）
  • 对备份基础设施的访问权限（Veeam、Commvault、Rubrik、AWS Backup、Azure Backup）
  • 来自业务影响分析的、按应用层级记录的 RTO/RPO 目标
  • 可用于恢复测试的备份副本（生产副本或测试快照）
  • 针对每个关键系统的、包含分步流程的恢复运行手册

工作流

步骤 1：定义恢复测试范围

识别关键系统及其分层恢复目标：

层级系统类型RTO 目标RPO 目标示例
Tier 1关键任务< 1 小时< 15 分钟Active Directory、核心数据库
Tier 2业务关键< 4 小时< 1 小时ERP、电子邮件、CRM
Tier 3业务运营< 24 小时< 4 小时文件共享、内部应用
Tier 4非关键< 72 小时< 24 小时开发/测试、分析
步骤 2：准备测试环境
# Verify isolated recovery network is segmented
# No routes to production should exist
ip route show | grep -v "192.168.100.0/24"  # recovery VLAN only

# Verify backup catalog is accessible
restic snapshots --repo s3:s3.amazonaws.com/backup-bucket --password-file /etc/restic/pw
# Or for Veeam:
# Get-VBRBackup | Where-Object {$_.JobType -eq "Backup"} | Select Name, LastPointCreationTime
步骤 3：执行恢复并测量 RTO

对于每个分层系统，衡量完整恢复时间线：

  1. 从检测到决策 - 从模拟告警到恢复决策的时间
  2. 定位备份 - 识别并选择正确的干净恢复点的时间
  3. 执行恢复 - 从备份恢复数据/虚拟机/应用的时间
  4. 验证 - 验证数据完整性和应用功能的时间
  5. 服务恢复 - 系统完全可运行所需的时间
Recovery Timeline Measurement:
  T0: Incident declared (simulated ransomware detection)
  T1: Recovery team assembled and backup identified
  T2: Restore initiated from clean backup
  T3: Restore completed, integrity checks passed
  T4: Application validated and service restored

  Actual RTO = T4 - T0
  Actual RPO = T0 - backup_timestamp
步骤 4：验证恢复后的数据完整性
# Compare file counts between backup manifest and restored data
find /restored/data -type f | wc -l
# Compare against pre-backup manifest

# Verify database consistency after restore
pg_isready -h localhost -p 5432
psql -c "SELECT count(*) FROM critical_table;" -d restored_db

# Hash verification of critical files
sha256sum /restored/data/critical_config.xml
# Compare against known-good hash from backup manifest
步骤 5：测试凭据轮换和安全加固

恢复后，验证安全控制已重新建立：

  1. 轮换所有服务账户密码和 API 密钥
  2. 验证所有管理账户均已启用 MFA
  3. 确认 EDR/AV Agent 正在运行并向管理控制台报告
  4. 验证防火墙规则会阻止已知 C2 指标
  5. 检查已恢复系统是否具有最新安全补丁
步骤 6：记录结果并计算差距
Recovery Test Report:
  System: [Name]
  Tier: [1-4]
  RTO Target: [target]    Actual RTO: [measured]    Gap: [delta]
  RPO Target: [target]    Actual RPO: [measured]    Gap: [delta]
  Data Integrity: [PASS/FAIL]
  Application Validation: [PASS/FAIL]
  Security Controls Restored: [PASS/FAIL]

  Status: [MEETS TARGET / EXCEEDS TARGET / FAILS TARGET]
  Remediation Required: [description if FAILS]

关键概念

术语定义
RTO恢复时间目标：灾难发生后系统可接受的最长停机时间
RPO恢复点目标：以时间衡量的可接受最大数据丢失量
WRT工作恢复时间：恢复完成后验证系统完整性所需的时间
MTD最大可容忍停机时间：在造成不可接受的业务影响之前的绝对限制
干净恢复点经验证不含勒索软件残留物或加密的备份
恢复顺序相互依赖的系统必须恢复的顺序
气隙备份存储在与网络物理断开的介质上的备份

工具与系统

工具用途
Veeam Backup & Replication虚拟机和物理服务器备份与恢复
Commvault企业数据保护和恢复编排
Rubrik具有勒索软件恢复 SLA 的云原生备份
AWS BackupAWS 服务的集中式备份
Azure Backup具有不可变保管库的 Microsoft 云备份
Restic开源加密备份工具
VeleroKubernetes 集群备份与恢复

常见陷阱

  • 不定期测试恢复：从未测试过的备份在需要时往往失效。至少每季度测试一次。
  • 忽视恢复顺序：在其数据库依赖项之前恢复应用程序会导致级联故障。
  • 跳过凭据轮换：已恢复的系统可能包含已泄露的凭据，从而导致再次感染。
  • 使用生产网络进行测试：在生产网络上进行恢复测试存在传播模拟或真实感染的风险。
  • 在没有 WRT 的情况下衡量 RTO：恢复完成并不等于复原完成。要将验证和加固时间计算在内。
  • 没有不可变备份：如果勒索软件可以加密或删除备份，恢复就不可能实现。请使用气隙或不可变存储。

参考资料

评论

支持 Markdown