当一台机器感染了恶意软件时，我们这里的大多数人会立即将适当的操作识别为“从轨道上对其进行核打击”——即擦除系统并重新开始。不幸的是，这对公司来说通常代价高昂，尤其是在备份配置不理想的情况下。这会引起管理层和只想继续使用机器工作的用户的阻力。毕竟，就他们而言，他们可以“在上面运行 AV”，一切都会好起来的。
您如何向非技术性质的管理人员和用户解释问题？我可以很容易地提出一个技术原因，但我无法为非技术用户提出适当的措辞。我特别欣赏接受者可以认同的任何说话方式，例如吸引经理的风险管理意识。
您如何向管理层和用户解释“从轨道上核弹”的必要性？
信息安全
恶意软件
杀毒软件
风险管理
用户教育
系统妥协
2021-08-12 23:22:32
4个回答
根据我的经验，管理层不喜欢听聪明的类比。取决于他们关心以美元或工作时间为单位的底线的人。我会解释：
实际的底线是，我们的数据泄露将花费公司大约 X 美元 + Y 小时来恢复。考虑到这台机器上的恶意软件，这种情况发生的可能性为 Z%。新安装将花费 A 美元 + B 小时来恢复。您选择适当的操作。
它简短而清晰，并没有真正给他们留下任何争论的空间。他们将清楚地了解风险，并应做出正确的决定。
我会避免生物或非商业类比（除非这是一家医院）。您的工作是评估风险、成本并提供选项。您的管理层的工作是根据您的分析和建议做出决定。
通常，表格格式的方法是最好的。“方法”、“纠正问题的可能性”、“成本”是最低要求。如果您绝对必须变得可爱，您可以称第二个“拉斯维加斯”。
例如，在这种情况下，您可能有以下情况。
Approach Prognosis Cost
Run anti-virus on machine 30% 4 hours IT, 4 hours downtime
Replace machine w/new machine 75% $3,000, 16 hours IT, 4 hours downtime
AV machine, copy user files,
replace machine, restore 60% $3,000, 24 hours IT, 4 hours user, 8 hours
files downtime
在这个列表中（假设是用户桌面），真正的问题是用户行为。您将要记录为什么各种选项的预后小于 100%，以及为什么涉及用户文件的任何内容都不如“从轨道上核弹”有效。
根据问题，您可能需要添加“什么都不做”或“等待”，以告知您的管理层对整个业务的风险。
你可以喝所有你想尝试预防癌症的红酒抗病毒剂，但是一旦你得了第一个肿瘤，再多喝也无济于事。你需要把它剪掉并确保你得到了所有的东西，因为如果你不这样做，它会再次出现。
一旦你感染了病毒，明显的症状是令人烦恼的，但这是你看不到真正危险所在的地方。后门、rootkit 和僵尸网络都可以隐藏，而没有任何迹象表明有任何问题。有时隐藏的危险与明显的危险结合在一起，所以一旦明显的症状消失，你就会感到安全，但明显的却是对隐藏的分心。
一旦你知道自己被感染了，你就不知道感染会传播多远，不知道这意味着你不知道什么是危险的。最基本的行动方案是从轨道上对其进行核打击。这样你就知道你在哪里，你知道你的风险是什么，即使从头开始会有很大的成本。
这很容易- 只需完成来自 Aliens 的问题中的引用即可。
这是唯一确定的方法。
这就是它的全部。不多也不少。让他们知道，如果您在其上运行 AV 软件并且该软件说它已找到并删除了病毒，那么他们可能没问题。或许。如果病毒真的被清除了。如果那真的是唯一的病毒。
要回应其他人发布的关于“如何从机器中保存用户数据”的内容，答案是您没有。“从轨道上起飞并核对整个站点”这意味着您从备份中恢复，他们会丢失任何未备份的内容。这不是一件容易的事情，这是正确的事情。
因为这是唯一确定的方法。