如何防范勒索病毒：完整指南

如何防范勒索病毒是一个最好在第一次攻击之前就解决的问题。勒索病毒会阻止对文件的访问，并要求支付赎金以获取解密密钥。本文将讨论如何降低感染风险，Windows、macOS、Linux以及云服务中应启用哪些设置，如何组织备份，培训员工，以及如果感染已经发生应采取什么措施。

勒索病毒不仅对大公司有威胁。家庭笔记本电脑、家庭照片档案、小企业客户数据库、会计系统、NAS存储和部门共享驱动器都可能成为目标。同时，防护不是单靠一种杀毒软件，而是通过习惯、设置、备份和应对计划的结合来实现。

什么是勒索病毒，它是如何工作的

勒索病毒是一种恶意程序，它会在设备或可访问的网络文件夹中查找文件，加密它们并留下赎金要求的消息。攻击者通常承诺在付款后发送密钥。但实际上没有保证：密钥可能不会到来，也可能无法工作，而付款会支持新的攻击。

典型的攻击通常分几个阶段：

1. 攻击者获得初始访问权限。这可能是钓鱼邮件、感染附件、破解密码、存在漏洞的RDP、恶意广告或盗版软件。
2. 恶意代码在系统中固定。有时它会关闭保护，删除阴影副本并寻找网络资源。
3. 勒索病毒选择数据。通常它会加密文档、表格、档案、照片、数据库和可作为普通文件夹访问的备份。
4. 文件被加密。扩展名可能会改变，在桌面上出现需付款的通知。
5. 有时数据会被提前盗取。随后，犯罪分子会威胁要发布数据，即使受害者有备份。

主要结论很简单：防范勒索病毒必须在每个阶段阻碍攻击。需要复杂化入侵、限制传播、保留干净的数据副本，并提前制定行动策略。

勒索病毒的主要传播途径

要了解如何防范勒索病毒，必须知道最常见的场景。它们在不断变化，但基本的手段仍然类似。

钓鱼邮件和附件

邮件可能看起来像账单、合同、银行通知、配送消息、简历或合作伙伴的文件。内含可能是带有宏的附件、指向虚假网站的链接或执行文件的压缩包。有时文本会制造紧迫感：今天付款、立即打开、检查欠款。

危险迹象：

• 来自未知发件人的意外文件；
• 邮件中提到的密码压缩包；
• 在文档中要求启用宏；
• 带有类似但不准确的域名的链接；
• 奇怪的风格、错误或对时间的压力。

远程访问被入侵

RDP、VPN门户、管理面板、SSH或远程桌面常常成为入侵点。如果使用弱密码，没有多因素认证，服务在互联网上开放，并且很久没有更新，风险更高。

对于企业而言，这尤为严重。一个被入侵的管理员账号可能会使攻击者访问到服务器、共享文件夹和备份。

盗版软件和激活工具

破解程序、激活工具、Windows镜像、付费软件的免费版本和可疑插件往往包含恶意代码。用户自己以管理员权限运行恶意文件，之后系统失去控制。

节省许可证的成本可能会以丢失工作文档、企业中断和恢复费用而告终。

程序和设备中的漏洞

勒索病毒利用操作系统、浏览器、办公套件、VPN网关、NAS、路由器和服务器应用中的漏洞。因此，更新不是一种形式，而是基本安全措施。

特别要关注那些多年未维护的设备：网络存储、旧服务器、摄像头、打印机和路由器。

基础的勒索病毒防护策略

可靠的保护由多个层级组成。如果一个层级失效，下一层应该减少损失。

最小权限原则

用户不应该始终以管理员身份工作。日常任务只需普通账户即可。管理员权限仅在安装程序和进行系统更改时需要。

在公司中，这一原则尤其重要。员工不需要访问所有文件夹，只需处理一个项目。可用文件越少，感染时的受损区域就越小。

定期更新

更新操作系统、浏览器、办公应用、邮件客户端、Java、PDF阅读器、压缩工具和服务器服务。如果程序不再得到支持，最好更换它。

实用做法：

• 在安全的地方启用自动更新；
• 手动检查网络设备的更新；
• 卸载不使用的旧软件；
• 保持关键系统和其更新日期的清单。

可靠的密码和多因素认证

密码应该是长且独特的。重复使用密码是导致入侵的常见原因。如果一个服务被攻破，攻击者就会在邮箱、VPN和云服务中尝试同样的密码。

使用密码管理器并启用多因素认证。对于邮箱、云存储、VPN、RDP、管理面板、CRM和财务服务尤其需要多因素认证。

现代终端保护

杀毒软件或EDR不能提供绝对保证，但仍然有用。好的保护解决方案可以阻止可疑加密、恶意脚本、漏洞利用或尝试禁用保护的行为。

确认保护措施实际有效：

• 开启实时保护；
• 更新数据库和组件；
• 开启文件的云信誉；
• 用户不能在未授权的情况下禁用保护；
• 安全事件指派给责任人。

按照3-2-1规则进行备份

备份是恢复勒索病毒攻击后不支付赎金的主要方法。但是，并且副本必须不被病毒访问。如果备份作为常规磁盘连接并开放以供写入，勒索病毒可能也会加密它。

经典的3-2-1规则意味着：

元素	这意味着什么	示例
3个数据副本	原始数据和至少两个备份	工作笔记本，地方备份，云备份
2种不同介质	数据不只在一种设备上	外部硬盘和云或NAS和磁带
1个副本在主场所之外	一个备份存放在另一个地方	云，另一个办公室，离线磁盘在安全地点

为保护免受勒索病毒攻击增加另一个规则：至少一个副本必须是不可更改的或离线的。不可更改的副本在指定时间内防止删除和覆盖。离线副本在创建后物理断开。

如何在家中设置备份

对于家庭用户，可以采用简单的方案：

1. 将重要文件存储在易于理解的文件夹中，以便于备份。
2. 设置自动复制到云中的版本历史。
3. 每周或每月在外部驱动器上进行备份。
4. 在复制完成后断开磁盘与计算机的连接。
5. 定期检查备份中的文件是否能够打开。

不仅限于同步。如果恶意程序加密文件，同步可能会快速将加密版本传送到云中。因此需要版本历史和单独的备份。

如何在公司设置备份

对于企业，备份必须是受管理的过程，而不是管理员的个人倡议。需要确定哪些系统是关键的，它们的备份频率，以及需要在多长时间内恢复。

最基本的要求：

• 每天备份工作文件和服务器；
• 单独备份数据库并确保正确停止或快照；
• 为备份保护单独的账户；
• 禁止普通用户访问备份存储；
• 定期进行测试恢复；
• 日志记录成功和失败的任务；
• 部分备份存放在主网络外。

恢复测试比漂亮的备份报告更重要。在您没有在测试环境中成功恢复文件、文件夹、数据库或服务器之前，无法确定备份合适。

针对勒索病毒的逐步检查清单

这个检查清单可以作为快速行动计划。首先从前几项开始。它们在合理的开支情况下最大化效果。

1. 识别重要数据。 制定一份重要文件、服务、数据库、云磁盘和设备的列表。无法保护无人知晓的事情。
2. 设置备份。 使用3-2-1规则。添加离线或不可更改的副本。验证恢复。
3. 启用更新。 更新操作系统、浏览器、办公套件、服务器、NAS和网络设备。删除旧程序。
4. 删除多余权限。 在没有管理员权限的情况下工作。限制对共享文件夹的访问。
5. 启用多因素认证。 从邮箱、VPN、云、远程访问和管理员帐户开始。
6. 保护邮箱。 设置反垃圾邮件、附件检查、公司域的SPF、DKIM和DMARC。教育员工识别钓鱼行为。
7. 限制宏和脚本。 禁止来自互联网的宏。控制PowerShell、JavaScript和未知可执行文件的启动。
8. 关闭远程互联网访问。 不要直接公开RDP。使用VPN、多因素认证、IP白名单和登录日志。
9. 分段网络。 将工作站、服务器、访客Wi-Fi、会计、生产系统和存储分开。
10. 制定响应计划。 事先决定通知谁，如何关闭感染设备，联系方式和说明在哪里。

如果没有时间一次性做完，可以先从备份、更新、多因素认证和权限限制着手。这些措施可以弥补大部分重大损失的常见原因。

减少风险的Windows设置

Windows因为其普遍性而经常受到攻击。然而，如果正确启用内置功能，可以显著降低风险。

微软防御者中的勒索软件防护

Windows中有文件夹控制访问功能。它限制未知应用程序对重要目录的更改。可以在Windows安全设置中的病毒和威胁防护部分启用。

需要做的事情：

• 启用实时保护；
• 启用云保护；
• 启用文件夹控制访问；
• 将重要文件夹添加到保护列表；
• 只允许受信任的应用程序访问；
• 在分析原因之前不要关闭警告。

该功能可能需要调整。某些工作程序可能最初会被阻止。仅在确认其合法性之后才进行核查并添加到例外中。

限制Office中的宏

宏经常被用来启动恶意代码。在现代版本的Microsoft Office中，互联网中的宏可能默认被阻止，但这取决于策略和版本。

对于公司来说，最好集中禁止来自不可信来源的宏。如果会计或分析师需要宏，请使用数字签名、受信任的位置和单独规则。

应用控制

禁止启动未知程序降低了被感染的风险。为此，可以使用Microsoft Defender Application Control、AppLocker或其他应用控制工具。理念很简单：只能启动获准的软件。

对于小企业，可以采取渐进的方法。首先收集所使用程序的清单。然后禁止从临时文件夹、用户配置文件、压缩文件和下载中启动。恶意文件通常就是从这些地方启动的。

防范勒索病毒的macOS和Linux

macOS和Linux也不能被认为是无懈可击的。在家庭设备上的攻击较少，但Linux服务器、容器、NAS和员工的macOS笔记本对于攻击者仍然很有吸引力。

在macOS上需要做什么

启用自动更新，使用Gatekeeper，不要关闭系统完整性保护，从受信任的来源安装应用程序。对于重要数据，启用Time Machine，但如果没有防止更改的保护，不要始终保持备份磁盘连接。

另外，检查应用程序的权限。不要在没有必要的情况下授予对磁盘、文档、下载、麦克风和摄像头的访问权限。删除旧的管理配置文件和未知的浏览器扩展。

在Linux上需要做什么

在Linux上，主要风险往往与服务器服务相关：SSH、管理面板、Web应用程序、数据库、Docker、Samba和网络共享。使用安全更新、密钥替代密码用于SSH、fail2ban或类似工具、防火墙以及最小权限原则。

对于服务器，服务的单独账户、目录的正确权限、定期快照和备份在服务器之外非常重要。如果勒索病毒接管了Web服务器用户，则不应该能够更改公司所有数据。

如何保护邮件和浏览器

邮件和浏览器是两个主要的入侵渠道。因此，它们的保护直接影响感染的可能性。

安全处理邮件的规则

检查发件人、域和上下文。如果邮件是意外的，最好通过其他渠道确认：电话、内部聊天或官方网站。不要打开意外的压缩文件和带有宏的文档。

特别危险的是催促你立即行动的邮件。紧迫感会降低注意力。暂停一下，将光标悬停在链接上，检查地址并思考，发件人是否应该发送这样的文件。

浏览器安全

使用现代浏览器并保持其更新。安装尽量少的扩展，每个扩展都获得特定权限，有些可以阅读页面或更改网站内容。

实用措施：

• 删除不必要的扩展；
• 不要从广告横幅下载程序；
• 在输入密码之前检查网站地址；
• 不要在没有保护政策的情况下将公司密码保存在浏览器中；
• 使用密码管理器并开启多因素认证。

网络、NAS和共享文件夹的保护

勒索病毒的危险在于，它不仅加密本地文件。如果用户能访问网络文件夹，它们也面临威胁。因此，配置公共资源需格外小心。

限制对共享文件夹的访问

根据岗位分配权限。如果部门只需阅读或查看，就不应授予写入权限。如果员工只处理一个项目，就不要给他开放整个公司的档案。

定期检查权限。在员工离职、转岗和项目结束后，多余的访问权限往往会被保留下来。这会在账号被入侵时增加损失。

NAS的保护

NAS便于存储文件，但不能不加保护。更新固件，禁用不必要的服务，不要将管理面板暴露于互联网，启用多因素认证，使用单独的账户和快照。

如果NAS支持不可更改的快照或删除保护，请启用它。但不要认为快照是唯一的备份。在配置错误、管理员被攻破或设备故障时可能会丢失所有数据。需要有一个NAS之外的副本。

网络分段

网络分段是指将网络划分为区域。例如，访客Wi-Fi不应能看到服务器。工作站不应直接访问备份系统。会计段可以与公共办公网络分开。

即使是简单的分隔也能降低大规模加密的风险。攻击可能从一台计算机开始，但不应该在整个基础设施中自由移动。

定期培训用户而不以恐吓为目的

技术是重要的，但人往往做出最后的决定：是否打开文件、是否输入密码、是否启用宏。因此，培训应该是定期的和实用的。

一个好的程序包括：

• 简短的说明与实际邮件示例；
• 有效的报告可疑邮件的渠道；
• 对及时报告不予惩罚的规则；
• 不带羞辱的训练邮件；
• 密码、多因素认证和附件处理的提醒。

不应以恐惧为基础进行培训。更好的方式是解释员工是安全措施的一部分，而不是所有问题的罪魁祸首。如果员工迅速报告怀疑，安全团队就有机会在加密之前阻止攻击。

如果勒索病毒已经启动该怎么办

如果您发现文件有奇怪的扩展名、大量重命名、赎金通知或磁盘速度骤降，请迅速行动。不要尝试混乱地打开文件或重启所有设备。

首先采取的行动

1. 将设备从网络中断开。 拔掉网线，关闭Wi-Fi和蓝牙。不要删除文件或格式化磁盘。
2. 关闭共享文件夹和网络存储。 如果您是管理员，临时限制对文件服务器和NAS的访问。
3. 不要立即付款。 首先评估规模，检查是否有备份和解密选项。付款并不保证恢复。
4. 保存证据。 拍照记录通知，保存文件名、扩展名、事件时间和可疑邮件。
5. 通知相关人员。 在公司内，根据预先批准的计划通知IT团队、安全、管理和法律部门。
6. 检查其他设备。 查找共享磁盘、服务器和邻近计算机上的相同迹象。
7. 仅在清理后开始恢复。 如果将数据恢复到受感染的环境中，可能会再次被加密。

是否可以免费解密文件

有时针对特定的勒索病毒家族有免费解密工具。这是可能的，如果研究人员发现了加密实现中的错误、获得了密钥或执法机构没收了犯罪分子的基础设施。

查看声誉良好的资源和知名杀毒公司的网站。不要从论坛和广告页面下载未知的解密工具。它们可能是新的恶意软件。

何时应寻求专家帮助

如果涉及业务、服务器、个人数据、会计或可能的泄密，最好联系事件调查专家。他们可以帮助确定入侵点、阻止传播、保存证据并安全地恢复操作。

重要的不是仅仅恢复文件。而是要理解攻击是如何发生的。否则，勒索病毒或其他恶意代码可能会通过同一个漏洞返回。

是否应该支付赎金

支付赎金是有风险的。没有保证犯罪分子会发送密钥，没有保证密钥会解密所有文件，也没有保证被盗数据不会被公开。此外，付款本身可能会违反公司内部规则或法律要求，如果收款方与制裁名单有关联。

决定通常取决于具体情况：数据的价值、备份的可用性、法律风险、业务停顿以及与专家的咨询。但最佳战略是构建防护，使得支付成为唯一的选项。

防范勒索病毒的常见错误

即使有好的工具，如果使用不当也无济于事。以下是一些常见错误。

始终保持备份连接

连接的磁盘、网络资源或云文件夹可能会与主要文件一起被加密。需要一个离线副本、不可更改的存储或系统有限权限。

每天以管理员身份工作

如果恶意文件以高权限启动，损失将会增加。正常工作应使用标准账户。

避免数月不更新

一些攻击利用已经存在很久的已知漏洞，早已修复。系统更新的时间越长，风险越高。

在互联网上开放RDP

公开的远程桌面和密码往往成为暴力攻击的目标。使用VPN、多因素认证和IP限制。

认为云就是完美的备份

云同步方便，但不一定总是备份。检查版本历史、删除文件的保存期限以及大规模恢复的可能性。

FAQ：有关防范勒索病毒的问题

如何判断计算机是否感染勒索病毒

迹象：文件无法打开，出现未知扩展名，文件夹中有赎金通知，磁盘没有原因地高速运行，杀毒软件显示大量拦截。在出现这些症状时，请立即将设备从网络中断。

杀毒软件能完全防范勒索病毒吗

不，不能完全防范。杀毒软件很重要，但必须与更新、多因素认证、权限限制、邮件过滤、应用控制和备份结合使用。

哪些文件最容易被病毒加密

通常，加密的文件包括文档、表格、演示文稿、照片、压缩文件、数据库、项目、会计文件和可访问网络文件夹的内容。系统文件可能不会被触动，以便受害者能读取赎金要求。

重新安装Windows能否帮助

重新安装可能会删除恶意程序，但无法解密文件。在重新安装之前保存证据并检查备份。数据必须在干净的系统中恢复。

是否可以免费防范勒索病毒

是的，可以低成本提高基本防护水平：启用更新、使用Windows自带保护、以非管理员权限工作、启用多因素认证、进行离线备份和不打开可疑附件。对于企业，通常需要额外的工具和流程。

备份的频率是多少

频率取决于您愿意丢失的数据量。对于家庭用户，通常每天的云版本和定期的离线副本就足够了。对于企业，可能需要每天、每小时或更频繁地备份关键系统。

哪个更重要：备份还是邮箱保护

两者都需要。邮箱保护降低感染的概率，而备份在感染发生时减少损失。这是策略的不同层面。

未来一天的最低计划

如果您希望迅速提高保护，今天采取五个行动：

1. 将最重要的文件备份到外部磁盘并断开连接。
2. 为邮箱、云和远程访问启用多因素认证。
3. 检查Windows、macOS、Linux、浏览器和办公程序的更新。
4. 确保杀毒软件已启用并更新。
5. 删除多余的程序、浏览器扩展和旧账户。

然后在接下来的一周内，设置定期备份，检查恢复，限制用户权限并关闭风险较高的远程服务。

结论

防范勒索病毒的最佳方式是将其作为一个系统进行运作：更新修补漏洞，多因素认证保护登录，限制权限控管传播，培训减少错误风险，备份允许在不支付赎金的情况下恢复。首先从盘点重要数据和按照3-2-1规则备份开始，然后启用多因素认证、更新和访问控制。您越早实施这些措施，越能减少意外链接导致停机或损失宝贵文件的可能性。