勒索事件的过程高度相似：从一个入口进来，横向移动到文件服务器，加密数据，然后留下一个联系方式。防御的关键，是在这条路径上设置三道能拦住它的关卡。
一、第一道：入口防线
- 补丁：操作系统与常用服务的漏洞是最常见入口，补丁节奏要有记录
- 账号：远程访问开启多因素认证，取消暴露在公网的远程桌面
- 邮件与下载：附件与可执行文件管控，用户端禁用宏或默认阻止
- 终端防护：防病毒与 EDR 常规化，并确认真的在运行
二、第二道：横向移动防线
勒索软件进来之后会尝试横向扩散。分区与权限是最好的阻挡。
- 按业务分区，服务器之间默认拒绝，按需放行
- 共享目录权限最小化，取消"全员可写"
- 管理员账号一人一号，日常使用普通账号
- 关键系统开启异常登录和批量文件操作告警
批量文件操作告警很有效
短时间内大量文件被读取或重命名，是加密行为的典型特征。这类告警能争取到最宝贵的几分钟。
三、第三道：兜底防线
| 要点 | 做法 |
|---|---|
| 离线副本 | 至少一份备份不可被在线篡改或删除 |
| 网络隔离 | 备份系统与生产网络分离，访问路径受控 |
| 权限独立 | 备份账号不用于日常登录，只做备份 |
| 恢复演练 | 定期真实恢复，验证时间与完整性 |
四、真有预案，才谈得上恢复
预案要写清楚：谁负责判断、是否断网隔离、先恢复哪套系统、向谁汇报、对外怎么沟通。写完之后建议做一次桌面推演——不演练的预案，只能是文档。
五、三层缺一不可
只做入口防护，挡不住已经进来的；只做备份，恢复时间可能长到无法接受。三层配合的意义是：让攻击难以进来、进来难以扩散、扩散了还能恢复。这不是投入多少的问题，而是次序对不对的问题。
#勒索防护#离线备份#网络分区#运维事业部
