怀疑遭勒索攻击 先看你的角色
同一宗事故，不同岗位有不同任务。选择适合你的版本，确认当前行动和交接资料。
通知事故负责人，先由已授权人员隔离受影响装置的网络连线。只有无法暂停网络或以其他方式断开受影响主机时，才考虑关机阻止扩散；关机会失去记忆体证据。不要自行重装或清除档案；涉及人身安全的设备，停机须按既有应变程序评估。
YOUR ROLE / 你的任务
管理层版本
先保障人员与关键服务，让停机、通知及复原都有负责人和决策记录。
- 01
启动事故指挥
指定一名事故负责人，召集 IT、网安、业务及相关支援人员。改用已确认安全的通讯方式，记下谁有权批准停机、支出和对外说明。
- 02
排定业务优先次序
列出已中断服务、受影响客户及可行的手动替代程序。让技术团队说明继续运作的风险，再决定哪些服务暂停、哪些先复原。
- 03
安排通知与支援
依所在地、合约及资料种类，请相关负责人确认通报安排；指派一个对外窗口。把已证实事实、仍待查事项及下次更新时间分开说明。
- 04
批准分阶段复原
要求团队先确认入侵入口、备份可用性及复原环境，再批准服务逐步重新开放。收到勒索要求先保存，不把付款当作恢复服务的保证。
交接时带上甚么
向技术与调查团队交代：事故负责人、重要服务排序、可接受停机影响、资源授权及对外联络窗口。
YOUR ROLE / 你的任务
IT 版本
在授权下隔离受影响环境，保留调查线索，再于乾净环境恢复服务。
- 01
确认范围并隔离
记录装置、帐户与首次发现时间。由已授权人员隔离受影响装置的网络连线，核查相连伺服器与云端服务，避免把可疑备份接回正常网络。
- 02
保留线索再作清理
保存勒索讯息、告警、登入与系统日志，记下已做过的操作。不要先重装、删档或反覆重新开机；涉及记忆体或磁碟取证时，交由网安专家安排。
- 03
处理遭滥用的存取
与事故负责人协调停用受影响帐户、撤销工作阶段及金钥轮替。从乾净的管理装置操作，盘点远端入口和权限，避免只改一个密码便当作完成处理。
- 04
在隔离环境测试复原
核对备份时间及是否含入侵痕迹，先在隔离环境测试还原。确认需要的修补、存取限制及监察后，按核准次序恢复，并留意再次异常。
交接时带上甚么
交给网安专家：装置与帐户清单、时间及时区、日志位置、隔离操作、备份状态、尚未处理的依赖服务。
YOUR ROLE / 你的任务
网安专家版本
把假设与证据分开，协调遏止、调查和复原所需的技术工作。
- 01
建立事件时间线
关联端点、身分、网络及云端日志，核查初始入口、权限提升、横向移动及资料外传。把已确认范围与仍需验证的假设分开记录。
- 02
安排证据保全
依授权及案件需要取得记忆体或磁碟映像，保留原件并用副本分析。记录采集人、时间、工具及杂凑值，维持证据保管链；采集顺序需兼顾仍在扩散的风险。
- 03
遏止并移除持续存取
与 IT 协调网络分段、帐户与金钥撤销、恶意持续存取及漏洞修补。依证据调整侦测与搜寻范围，不以单一 IP、档名或勒索名称直接断定攻击者身分。
- 04
验证复原与整理报告
定义回复服务的技术条件，验证备份与乾净重建环境，安排复原后监察。交付范围、根因、处理纪录、未解问题与改善项目，并准备所需的安全证据交接。
交接时带上甚么
交给管理层与获授权调查方：技术时间线、证据索引、已确认影响、可信程度、遏止与复原建议；敏感资料用约定渠道传送。
YOUR ROLE / 你的任务
执法部门版本
供获授权人员阅读的案件资料与交接重点，具体调查依所属机关程序及适用法律处理。
- 01
厘清案件及联络人
记录报案方、联络窗口、事故时间、受影响地点和业务影响。区分受害方陈述、技术观察与已核实证据，并厘清司法管辖与资料取得权限。
- 02
建立证据清单与交接纪录
按需要接收勒索讯息、通讯纪录、帐户及系统线索、交易识别资料与技术报告。逐项记下来源、取得方式、时间、杂凑值和交接人，保护原件并控制存取。
- 03
与应变团队协调保全
及早说明需保存的日志、装置与资料范围，协调服务复原与证据保存。清楚记录采集前已执行的隔离或修复操作，不要求未受训人员自行进行高风险取证。
- 04
按正式渠道跟进
依机关程序与服务供应商、其他司法管辖机关及相关单位联络。向报案方提供案件联络安排及所需补充资料，不对逮捕、解密、追款或结果作保证。
交接时带上甚么
接收或移交时确认：案件识别、提供者权限、证据清单、保管与交接纪录、限制条件及下一位负责人。
官方参考与求助入口
四个版本是按角色整理的教育资料，并非官方执法程序。HKCERT 的保安事故支援与向警方报案是不同渠道，向其中一方提供资料不代表已完成另一方的程序。各机构的受理范围及联络安排以官方页面为准。