问题所在
勒索软件能在几分钟内加密数千个文件，并删除本地备份。从第一个文件受影响到作出响应，每一秒都至关重要。
模块的功能
诱饵文件
在用户文件夹中放置隐藏文件：任何修改都会触发严重告警。
行为信号
集中重命名、文件熵值上升、已知扩展名、卷影副本被删除。
自动响应
暂停、终止进程树、网络隔离，并在控制台中给出有说明的告警。
受保护的卷影副本
Windows 卷影副本受到保护，防止被未经授权的程序删除。
如何运作
监控
代理端观察文件写入和高风险命令。
检测
多个相互印证的信号会触发响应。
遏制
进程被终止，电脑被隔离，但保留与 Kayzen 管理通道的连接。
须知
- 该模块计划在第 3 阶段推出，仅使用自研的无害模拟器进行测试。
- 没有任何防护是万无一失的：请保留经过测试的离线备份。
- 内部目标（2 秒内停止）将连同其方法一并测量并公布。
常见问题
关于该模块的问题
还是需要备份吗？
需要，始终需要。经过定期测试的离线备份，仍是防范数据丢失的最佳保险。
隔离会切断整个网络吗？
除代理端与控制台之间的安全通道外，其余全部切断，以便远程分析和恢复使用。