Plans and facilitates ransomware tabletop exercises simulating LockBit/BlackCat/Cl0p attacks to test incident response, decisions, and communications per NIST CSF/CISA.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
- 每年或在重大基础设施变更后测试组织的勒索软件响应流程
Plans and facilitates ransomware tabletop exercises testing organizational readiness, decision-making, and communication against NIST CSF/CISA. Covers LockBit/ALPHV/Cl0p scenarios with double extortion and notifications.
Facilitates ransomware tabletop exercises simulating LockBit/BlackCat/Cl0p attacks to test readiness, decision-making, and recovery against NIST CSF/CISA guidelines.
Executes SOC tabletop exercises simulating security incidents via discussion to test incident response workflows, communication, and decision-making under pressure. For IR playbook validation, analyst training, and compliance testing.
Share bugs, ideas, or general feedback.
不适用于技术控制测试。桌面推演（Tabletop Exercise）验证流程和决策，而非技术检测或预防能力。
基于当前威胁行为者 TTP 构建真实场景：
场景结构：
阶段 1：初始检测（30 分钟）
- SOC 收到文件服务器上可疑进程执行的告警
- EDR 在 3 台工作站上检测到 Cobalt Strike 信标
- 注入：外部威胁情报报告将 C2 IP 与 LockBit 附属机构关联
阶段 2：升级（30 分钟）
- 勒索软件在夜间对 40% 的服务器执行加密
- 勒索信要求在 72 小时期限内支付 200 万美元比特币
- 注入：攻击者联系媒体声称窃取了客户 PII 数据
阶段 3：决策点（45 分钟）
- 备份评估显示不可变副本完好，但主备份已被加密
- 法务就违规通知时间表提供建议（GDPR 72 小时，美国各州不同）
- 注入：威胁行为者在泄露站点上发布部分被盗数据样本
阶段 4：恢复与通信（45 分钟）
- 恢复时间估计：从不可变备份恢复需 5-7 天
- 保险公司介入并聘请谈判公司
- 注入：主要客户威胁称如未在 24 小时内收到更新将终止合同
需要自定义的场景变量：
为参与者创建以下文件：
需纳入的关键决策点：
主持人职责：
各阶段探究性问题：
阶段 1 - 检测：
阶段 2 - 升级：
阶段 3 - 决策：
阶段 4 - 恢复：
针对定义的标准对每个职能领域进行评分：
| 评估领域 | 评分（1-5） | 标准 |
|---|---|---|
| 检测与升级 | 及时宣布事件，正确的指挥链 | |
| 遏制 | 网络隔离、凭据重置、范围评估 | |
| 对内通信 | 员工通知、高管简报、决策记录 | |
| 对外通信 | 监管通知、客户沟通、媒体响应 | |
| 恢复规划 | 备份验证、恢复优先级、RTO 追踪 | |
| 法律与合规 | 违规通知时间表、证据保全、执法介入 | |
| 业务连续性 | 手工操作、客户影响缓解、收入损失估算 | |
| 支付决策 | 结构化框架、法律审查、OFAC 制裁检查 |
在 5 个工作日内制作事后分析报告（AAR）：
AAR 内容：
| 术语 | 定义 |
|---|---|
| 桌面推演（Tabletop Exercise, TTX） | 基于讨论的演练，参与者逐步演练模拟事件场景以测试计划和流程 |
| 注入（Inject） | 演练过程中引入的新信息，用于改变场景并迫使进行额外决策 |
| 态势报告（SITREP） | 在每个演练阶段提供模拟事件当前状态的情况报告 |
| 事后分析报告（After-Action Report, AAR） | 记录发现、差距、优势和整改行动的演练后文件 |
| 双重勒索（Double Extortion） | 勒索软件战术，攻击者同时加密数据并威胁公开被盗数据，除非支付赎金 |
| OFAC 检查（OFAC Check） | 验证赎金支付接收方不在美国财政部 OFAC 制裁名单上，否则支付将违法 |
场景背景：一家拥有 5 家医院的医疗系统开展年度勒索软件桌面推演。上次演练发现了 HIPAA 违规通知和临床系统恢复优先级方面的差距。本年度场景模拟针对 EMR 系统的双重勒索攻击。
方法：
常见陷阱：
## 勒索软件桌面推演 - 事后分析报告
**演练日期**: [日期]
**主持人**: [姓名]
**场景**: [简要描述]
**持续时间**: [小时数]
**参与者**: [按部门统计人数]
### 演练目标
1. [目标] - 已达成 / 部分达成 / 未达成
2. [目标] - 已达成 / 部分达成 / 未达成
### 关键决策日志
| 时间 | 决策点 | 已做决策 | 依据 | 评估 |
|------|--------|---------|------|------|
### 观察到的优势
1. [优势]
### 已识别的差距
| 差距 | 严重性 | 受影响领域 | 当前状态 | 期望状态 |
|------|--------|-----------|---------|---------|
### 整改行动
| 行动 | 责任人 | 截止日期 | 优先级 | 状态 |
|------|--------|---------|--------|------|
### 与往次演练比较
| 领域 | 上次评分 | 本次评分 | 趋势 |
|------|---------|---------|------|