制造业勒索病毒应急与恢复

按「让主业务链先跑通」的原则排序，而不是按系统重要性排序。一般是：身份与网络基础设施 → ERP 的核心账套（销售订单、库存、采购、财务）→ MES 排产与报工 → WMS → 其余系统。目的是尽快恢复「接单—排产—领料—生产—入库—发货—开票」这条链路，让工厂能开工、能发货、能开票；质检记录、设备台账、历史报表等可以分批补齐。具体顺序我们会和生产、计划、财务一起确认。

PLC 等控制器本身通常不是加密目标，但上位机、工程师站、SCADA 服务器多数是 Windows 主机，会被正常加密；一旦上位机瘫痪，产线同样无法操作与监控。此外，加密带来的网络拥塞和域认证失效也会影响依赖域账号的工控应用。因此处置时必须单独评估工控区域是否被触及，复产前与设备厂商共同确认上位机与组态文件的完整性，避免带病复产引发安全风险。

先确认是否真的发生外泄，再谈应对。我们在取证阶段会重点核查外连痕迹：异常出站流量、压缩打包文件、云存储与 FTP 上传记录、攻击者使用的传输工具，给出「是否外泄、涉及哪些目录、数据量级」的技术结论。这份结论用于三件事：评估商业秘密与合同保密条款的影响、判断是否触发《数据安全法》等法规下的报告义务、以及与客户沟通时提供事实依据。我们提供技术事实，不替代法律判断，也不参与与攻击者的任何交涉。

可以。我们的交付物中包含事件报告，内容通常涵盖：事件时间线与入口结论、受影响系统与数据范围、是否存在数据外泄的技术判断、已完成的处置与恢复动作、以及后续整改计划与时间表。这类报告在制造业的供应商安全审查中经常被要求提供。需要说明的是，报告以技术事实为准，不会为了满足审查而做无依据的表述。

通常有三条通道。域信任与统一凭据：集团使用同一个域或存在域信任关系，一套管理员凭据可以横跨厂区。跨厂区的网络互通：专线或 VPN 把各厂区连成一张扁平的大内网，缺少访问控制。统一的运维通道与账号：集团 IT 使用同一套远程工具和账号管理各厂区服务器。排查时我们会还原攻击者在各厂区之间的移动路径，并据此确定加固边界——这通常是集团型制造企业整改的重点。