勒索软件防护的核心目标，不是 “防住攻击”，而是防入侵、防扩散、防数据泄露、能快速恢复。它不是单点防护，而是覆盖攻击全链路的闭环体系，尤其是针对现在主流的 “双重勒索 + 蠕虫传播” 攻击模式，单一的杀毒或备份都不足以抵御。
一、先拆解：勒索软件的典型攻击链
防护前先摸清攻击路径，才能精准命中薄弱点：
表格
| 攻击阶段 | 典型手段 | 防护重点 |
|---|---|---|
| 初始访问 | 钓鱼邮件、漏洞利用、弱口令爆破（RDP/SMB） | 掐断入口，减少攻击面 |
| 执行 | 恶意脚本、无文件 PowerShell、Office 宏、后门植入 | 终端行为监控，防恶意代码执行 |
| 横向移动 | SMB/RDP 爆破、漏洞利用（永恒之蓝）、WMI 远程执行 | 内网分段，阻止攻击扩散 |
| 数据外发 | 窃取核心数据上传到攻击者服务器（双重勒索） | 数据防泄露，监控异常外联 |
| 加密与勒索 | 批量加密文件、修改后缀、留勒索信 | 快速检测加密行为，立即隔离止损 |
二、分层防护体系（从入口到恢复，全链路覆盖）
1. 入口防护：掐断攻击源头
目标：减少初始访问的可能性，让攻击者 “进不来”。
- 邮件安全防护
- 启用 SPF/DKIM/DMARC 配置，防止伪造钓鱼邮件
- 开启附件沙箱检测，阻断 Office 宏、恶意脚本附件
- 配置钓鱼邮件告警，识别含恶意链接、可疑附件的邮件
- 边界防护收紧
- 关闭不必要的公网端口（尤其是 RDP 3389、SMB 445），仅允许指定 IP 段访问
- IPS / 防火墙开启漏洞利用防护规则，阻断永恒之蓝等蠕虫攻击流量
- 漏洞与弱口令整改
- 定期扫描并修复系统 / 应用高危漏洞（重点是 SMB、RDP、Exchange 等服务）
- 强制所有终端启用强口令 + 多因素认证，禁止空口令 / 弱口令
2. 终端防护：筑牢主机防线
目标：阻止恶意代码执行，防无文件 / 脚本型勒索软件。
- EDR / 杀毒专项配置
- 开启勒索软件防护模块（文件加密行为监控、进程注入检测）
- 配置文件回滚功能，被篡改的关键文件可一键恢复
- 限制高危行为：禁止 PowerShell/WMI 无交互执行、Office 宏运行、未知脚本执行
- 无文件攻击防护
- 监控 PowerShell/CMD 异常行为（如 base64 编码命令、下载恶意脚本）
- EDR 开启进程树分析，识别注入合法进程的恶意代码
3. 横向移动防护：阻止攻击扩散
目标：一台主机被攻陷后，无法扩散到整个内网。
- 内网分段隔离
- 按业务 / 安全等级划分网段，核心业务区、办公区、DMZ 区相互隔离
- 限制跨网段访问，仅允许必要的业务流量
- 权限最小化
- 普通用户无本地管理员权限，禁止使用域管理员账号登录终端
- 禁用不必要的共享，SMB 仅允许授权用户访问
- 高危端口防护
- 关闭终端的 SMB 445、RDP 3389 端口，仅业务服务器保留必要访问
- 开启 SMB 签名，防止中继攻击
4. 数据防护：防泄露、能恢复（核心！）
目标：即使被加密，也能靠备份恢复，且数据不会被泄露。
- 数据防泄露
- 配置数据访问审计，监控核心数据的批量读取 / 下载行为
- 开启终端数据防泄露（DLP），限制核心文件向外网传输
- 备份与恢复（抵御勒索软件的最后一道防线）
- 严格遵循3-2-1 备份原则：3 份数据副本、2 种不同介质、1 份离线备份
- 核心数据必须做离线备份（物理隔离的备份服务器 / 磁带库），防止勒索软件感染在线备份
- 定期演练恢复流程，确保备份可用，避免 “备份了但恢复不了”
5. 检测与响应：发现即止损
目标：加密行为一出现，立即阻断，防止扩散。
- 告警配置
- 配置文件加密行为告警（短时间内大量文件后缀修改、关键目录加密）
- 监控异常进程：如未知程序批量读取文件、修改注册表
- 自动处置规则
- 加密行为触发后，自动隔离终端、阻断向外网连接
- 批量加密告警升级为 P1 高危告警，1 小时内响应
- 应急响应流程
- 立即隔离受感染终端，断开网络
- 备份证据（日志、抓包、恶意文件）
- 清理恶意代码，重置被破解的账户密码
- 从离线备份恢复数据，修复攻击利用的漏洞
三、企业落地常见误区（避坑指南）
- 误区 1：只靠杀毒软件防勒索：现在多数勒索软件是无文件攻击，传统杀毒根本检测不到，必须配合 EDR 行为监控。
- 误区 2：只做在线备份，不做离线备份：勒索软件会主动感染在线备份，备份服务器也被加密，等于没备份。
- 误区 3：备份了但不演练恢复：备份文件损坏、版本不兼容，被勒索时才发现无法恢复，只能付赎金。
- 误区 4：只防加密，不防数据泄露：双重勒索攻击下，数据被泄露的损失比加密更严重，必须同步做数据防泄露。
- 误区 5：付赎金就能解决问题：很多攻击者拿到赎金后不给解密器，或继续泄露数据，且付赎金会助长攻击行为。
落地 Checklist（可直接对照排查）
- 邮件已配置 SPF/DKIM/DMARC，附件开启沙箱检测
- 公网无开放的 RDP 3389、SMB 445 端口
- 所有终端已启用强口令 + 多因素认证
- EDR / 杀毒已开启勒索软件防护模块，配置文件回滚
- 内网已按网段隔离，核心业务区与办公区不通
- 核心数据有离线备份，且恢复流程已演练
- 已配置文件加密行为告警，自动隔离规则生效
- 有明确的勒索软件应急响应流程，团队熟悉处置步骤
No responses yet