勒索软件攻击防范与应急处理指南

# 勒索软件攻击防范与应急处理指南 > 勒索软件攻击逐年攀升，中招后要么付赎金（不保证解密），要么数据全丢。本文讲清如何防、中招后怎么办。 ## 一、攻击者怎么进来的 - **钓鱼邮件**：伪装成发票、快递、系统通知 - **远程桌面暴露**：RDP 弱口令直接爆破 - **漏洞利用**：未打补丁的 Web 服务、VPN - **供应链攻击**：第三方软件被投毒 ## 二、防线一：邮件防护 - 开启垃圾邮件过滤和链接检测 - 警惕陌生附件（.docm/.xlsm/.js/.scr） - 不轻易点击邮件中的链接，先看发件人域名 - 关键岗位开启双因素认证 ## 三、防线二：收敛暴露面 - 远程桌面不要直接暴露公网，用 VPN - 关闭不必要的端口和服务 - 及时修补高危漏洞（重点：Web 应用、VPN） - 管理员账号启用双因素认证 ## 四、防线三：权限最小化 - 普通用户用普通权限，不授予管理员 - 限制共享目录的写入权限 - 关闭 SMBv1 协议 - 服务器与终端分开管理账号 ## 五、防线四：备份策略（最后防线） > 有备份，勒索软件就是纸老虎。 推荐 3-2-1 原则： 1. 3 份数据副本 2. 2 种不同存储介质 3. 1 份离线（异机/异地的离线备份） ```bash # Linux 备份示例：rclone 同步到异地对象存储 rclone sync /data remote:backup --log-file /var/log/rclone.log # 定时任务每天凌晨执行 0 2 * * * /usr/bin/rclone sync /data remote:backup ``` > 备份要定期**演练恢复**，确认备份真的可用。 ## 六、中招后的应急处理 > 发现被加密后，保持冷静，按步骤处理： 1. **立即隔离**：断网、断开存储，防止横向扩散 2. **不要关机**：保留内存证据，方便溯源 3. **不要付赎金**：不保证能解密，还助长犯罪 4. **上报**：通知安全负责人，必要时报警 5. **取证**：保留加密文件样本、勒索信 6. **恢复**：用干净备份恢复系统，先杀毒再上线 ## 七、恢复后复盘 - 找出感染入口，堵住漏洞 - 全盘查杀，确认无残留 - 修改所有密码 - 更新备份策略（本次备份为何没救回来） ## 八、防范检查清单 - [ ] 开启系统自动更新 - [ ] RDP 不暴露公网 - [ ] 全公司启用双因素认证 - [ ] 关键数据每日备份且离线一份 - [ ] 备份每月做一次恢复演练 - [ ] 全员安全意识培训（钓鱼演练） 勒索软件防大于治：备份做好、补丁打勤、权限收紧，中招概率和损失都会大幅下降。