When an industrial PC, HMI or POS terminal is infected with ransomware or malware

当工业PC、人机界面或POS终端感染勒索软件或恶意软件时，请遵循以下标准OT事件响应步骤：

1. 立即隔离主机。断开网线，停止与PLC、DCS、MES或门店网络的所有通信，以防止病毒横向扩散到其他设备。如果需要收集取证证据，请勿盲目关机。

2. 评估范围。确认是否只有这一个端点受到影响，还是多个 HMI、工作站和服务器都被加密。

3. 评估可用备份。

◦ 如果存在干净、离线、未受损的备份：在清理受感染的系统后执行裸机恢复。

如果所有备份都存储在网络存储、共享 NAS 或操作系统可访问的本地驱动器上，则备份很可能与系统一起加密。在这种情况下，无法从这些副本进行恢复。

4. 清除恶意软件并重建系统。擦除受感染的存储设备，应用补丁程序，检查帐户密码并加强访问控制，然后再将设备恢复生产。

5. 进行事后审查：调整备份架构，划分 OT 网络，提高终端抵御未来攻击的能力。

许多 OT 团队面临的最大痛点是，传统的备份介质可能会被勒索软件攻击和加密。
这就是我们开发板载恢复模块的原因：它的存储区域不会被主机操作系统枚举，因此即使主系统遭到破坏，备份也能保持隔离且完整。它提供了一种独立于工厂网络或云端的本地恢复选项。

您是否遇到过备份文件与生产系统文件锁定在一起的情况？