勒索软件演练怎么做？一次实战复盘与成本账

导读

上周给东莞一家做五金加工的客户做完勒索软件演练，复盘时大家脸色都不好看：预案写了十二页，可真到第一台机器被加密那一刻，运维花了四十分钟才确认是勒索，又耗了两小时才拿到断网授权。没真演过，预案就是一叠纸。这篇把我经手几十次演练踩过的坑、最终方案和成本拆开讲，供同行参考。

踩过的三个坑

坑一：演练当开会，没有剧本。第一次给客户做演练，我拉着运维和行政开了个会，讨论"如果中了勒索病毒怎么办"，半小时散会，结论是"到时候再说"。真到演练那天，攻击从哪个入口进来都说不清，各人凭印象抢答。没有剧本的演练，本质是茶话会，测不出任何东西。

坑二：只测技术，不测决策链路。第二次做模拟攻击，我们往测试服务器丢了样本，EDR 三分钟就弹告警，然后卡住了：值班工程师不敢断网，说要等老板批；老板在深圳开会，电话打了六通才接。技术响应三分钟，决策花了两个钟头。演练不把"谁有权断网"这条线跑一遍，等于没测。

坑三：恢复环节走过场。前两次演练都停在"病毒已清理"，从没真从备份恢复过数据。直到一次全流程演练，我们尝试恢复一台文件服务器，才发现备份作业三个月前就悄悄失败，能用的恢复点停在 97 天前。演练不碰恢复，就永远发现不了备份是个空壳。

我们最终怎么解决的

后来我们把演练改成三级递进，从会议室到生产环境，一年走完三档，每一级都明确要暴露什么问题：

给你的行动清单

• 先写一页纸剧本：攻击入口、影响范围、恢复目标（RTO/RPO）写清楚，别写十二页没人看
• 演练前确认三件事：备份近 7 天全部成功、异地副本真实存在、至少真正恢复过一台机器
• 提前定好断网授权人：主授权人加一个备用授权人，写进值班表，演练当天按表执行
• 从桌面推演起步：每季度升一级，一年内跑完三级，别一上来就动生产
• 每次演练出三页复盘：发现了什么、谁负责改、什么时候改完，跟踪到下轮演练

算一笔账

以东莞这家客户为例。全流程演练一年做两次：每次两天，内部运维两人每天 800 元，外部工程师一人每天 1500 元，人力约 6200 元；隔离环境和工具费约 5000 元，单次成本约 1.1 万元，一年 2.2 万元。

对照他们 2025 年那次真实中招：6 台服务器被加密，交了 12 万元"解密费"只拿回六成数据，停产 5 天，违约金加人工损失 30 万，重建数据、加固系统又花 8 万，一单下来 50 万。演练顺带揪出了备份空壳，重建备份体系花了 4.5 万（异地 NAS + 云端副本 + 自动校验）。也就是说，演练加备份一年 6.7 万，只是那一次损失的零头。

更值钱的不是账。那次演练之后，客户老板自己把"断网授权"写进了制度：真出事，运维十分钟内可自行断网，事后再补报告。这个决定，是演练前任何一份 PPT 都换不来的。