勒索攻击发生后，先恢复业务还是先断开主机，顺序不能颠倒。针对勒索攻击的主机网络隔离与恢复预案，核心是先限制扩散、保留调查证据，再确认环境干净并分阶段恢复，避免刚上线的业务再次被加密。
第一步：先遏制扩散，再判断关机与否
发现文件扩展名异常、勒索说明、终端安全告警或短时间内大量文件被改写时，应立即记录主机名称、使用者、发现时间和屏幕提示。不要先删除文件、清理日志或运行来历不明的解密工具。
- 通过终端检测与响应（EDR）对受影响设备执行网络隔离；如果没有该能力，由有权限的管理员断开网线、关闭无线连接，并阻止其接入企业网络。隔离对象应包括出现异常的主机，不要未经评估就关闭整网。
- 同时检查与其相连的文件共享、管理终端和备份环境。若共享目录出现加密迹象，暂停相关写入或断开共享访问，避免感染主机继续改写数据。
- 除非加密仍在快速进行且无法及时断网，否则不要急于关机。关机可能丢失内存中的进程和连接信息；若威胁正在持续破坏数据，应优先切断网络并联系安全响应人员决定是否断电。
隔离后，把处置时间、执行人、主机标识和采取的动作记下来。若涉及多个终端，建立清单，区分“已确认感染”“可疑”和“仅受影响业务”，避免把未经验证的主机误当作安全设备。
第二步：留存证据并划定影响范围
在重装或恢复之前，保留安全告警、系统事件日志、勒索说明、可疑文件和备份任务记录。调查人员可在合规授权下制作磁盘镜像，并记录文件校验值；普通管理员不应随意打开或执行可疑附件。记录证据的来源和时间，便于后续还原事件过程。
沿着账号和连接关系排查横向移动：检查同一管理账号登录过哪些设备、是否有异常远程登录、共享目录是否被批量访问，以及服务器和备份控制台是否出现未授权操作。范围暂时无法确定时，应把相关主机继续隔离，而不是依据单台电脑恢复正常就宣布事件结束。
第三步：确认清除威胁后再恢复业务
先选可信恢复点
确认备份没有被攻击者删除、加密或篡改。离线备份与攻击网络隔离，通常更不容易被同一事件影响；在线备份便于快速恢复，但必须先核验其管理账号、访问权限和备份内容。恢复点应早于首次异常时间，并结合业务可接受的数据损失确定；不确定感染起点时，不能只取最新备份。
按依赖关系分批上线
- 从干净的安装介质重建受影响主机，修补已知漏洞，重置相关账号凭据，并启用多因素验证（适用时）。不要直接把原系统镜像当作可信环境复用。
- 先恢复必要的基础服务和数据，再恢复依赖它们的应用。每批主机在隔离测试网络中检查安全告警、关键日志、文件完整性及业务读写结果。
- 先让少量指定人员验证登录、查询、提交和打印等关键流程；确认没有异常进程、可疑外连或新一轮文件改写后，再逐步开放给更多用户。
- 每次扩容后持续观察终端告警、账号登录和备份任务。出现复发迹象，立即停止该批上线并重新隔离，不要继续恢复后续系统。
业务优先级可按影响和依赖关系排列：先恢复支撑多个系统的基础服务，再恢复核心数据与应用，最后处理非关键终端。恢复目标（如可接受的数据回退范围和恢复时限）取决于业务要求与备份条件，不宜在事故现场临时假设。
用顺序降低二次感染风险
可执行的针对勒索攻击的主机网络隔离与恢复预案，应把“隔离—取证—定范围—清除—可信恢复—验证—逐步开放”写成明确流程，并为每一步指定负责人、审批方式和回退动作。恢复速度重要，但只有确认主机干净、备份可信、账号风险已处理，业务重新上线才算真正完成。
常见问题
隔离后可以马上删除勒索文件吗？
不建议。先留存告警、日志和相关文件信息；删除可能影响调查，也不能证明入侵途径已清除。
备份任务显示成功，就能直接恢复吗？
不能。还需核验备份账号与存储是否受影响，并在隔离环境中抽查恢复结果和数据可用性。
所有主机都要关机吗？
通常先对异常主机断网，而不是一律关机。是否断电需结合加密是否持续、证据保全需要和业务影响判断。
什么时候可以重新接入网络？
完成重建或清除、凭据处置、备份验证和小范围业务测试后，再分批接入；发现异常应立即停止并重新隔离。