到壁纸改变、提示条出现时，这次攻击的有趣部分已经结束——入侵者通常已经在内部呆了好几天。决定这是糟糕的一周还是存亡危机的，完全取决于您提前准备了什么。以下是前48小时的实际运行方式。
第零小时：隔离，不要调查
第一反应——在受感染的机器上到处戳来戳去试图"看看发生了什么"——会扩大损害。正确的首要行动是隔离：必要时切断站点上行链路，优先切断备份服务器的网络（它是皇冠上的明珠目标），并保留一台受感染的机器原封不动供后续分析。这需要提前知道谁有权限断开业务连接。今天就把这个名字写下来。
第1-12小时：确定您还有什么
现在一切取决于一个问题：您是否有干净、可访问、可恢复的副本？如果您的站外副本是不可变的，您的恢复演练给了您真实的时间安排，那么您正在以蔑视的立场与攻击者谈判。如果您的备份在映射驱动器上，它们也被加密了，那么这48小时看起来会非常不同。
第12-48小时：以正确的顺序重建
首先是身份（域控制器、密码重置），然后是核心服务，然后是终端——在干净的网络上从经过验证的映像进行。首先在仍然被泄露的网络上恢复用户文件，是企业在一周内被加密两次的原因。一份书面的恢复顺序，在没人惊慌失措时同意，价值超过任何单一安全产品。
五项准备
第一：攻击者无法到达的站外副本。第二：带时间安排的恢复演练。第三：提前指定隔离决策人员。第四：权限缩减，使一个被盗的密码无法控制一切。第五：打印一份一页纸的运行手册——因为wiki会和其他一切一起被加密。这五项都不贵；全部都比一次勒索赔付便宜。我们的勒索软件防护页面覆盖我们如何建立它们。