核心要点（TL;DR）

• 先做异地备份并验证可恢复，再改端口与补丁，避免操作事故变成数据事故。
• 关闭445端口要同时封边界与主机侧，并禁用SMBv1，才能阻断横向移动。
• 补丁优先级看暴露面：公网服务与远程桌面补丁先打，内部再滚动推进。
• 备份必须离线或异地且保留多版本，未演练恢复的备份不算备份。

很多勒索病毒事件并不是攻击者多高明，而是基础配置留了口子：445端口对公网敞开、SMBv1没关、补丁拖了半年、备份和主机放在同一块磁盘。等文件被加密再找解密工具，往往已经晚了。本文给出一份可直接照做的勒索病毒防护配置清单，共7个步骤，每步都带命令与验证方法，目标是让你今天就能动手，把最常见的入侵路径和横向移动通道堵住。

第1步：先盘点资产与暴露面，别急着改配置

动手前先弄清楚哪些机器开着445、哪些在公网、哪些存着关键数据。盲目关端口可能先把自己的业务弄挂。

• 列出所有对外IP与端口映射，重点标记139/445、3389、22等高危端口。
• 在Linux上用 ss -lntp 查看监听；Windows用 netstat -ano | findstr :445。
• 用nmap从外网侧扫描确认暴露情况：nmap -Pn -p445,3389 <目标IP>。
• 标记文件服务器、域控、备份服务器，这三类是勒索病毒的重点目标。

把结果整理成一张表，后续每步改完都回来核对，避免漏改。

第2步：关闭445端口，封住SMB横向移动通道

445端口承载SMB协议，是勒索病毒在内网横向传播的主要通道之一。处理原则是：边界默认拒绝，主机按需白名单。

边界防火墙

# iptables 示例：拒绝外部访问445
 iptables -A INPUT -p tcp --dport 445 -j DROP
 # 仅允许可信网段
 iptables -I INPUT -p tcp -s 10.0.0.0/8 --dport 445 -j ACCEPT

云主机优先改安全组，把445入站规则删除，只保留必要内网来源。

Windows主机侧

# 禁用SMBv1（管理员PowerShell）
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol
# 查看SMB配置
Get-SmbServerConfiguration | Select EnableSMB1Protocol,EnableSMB2Protocol

不需要文件共享的服务器，直接关闭Server服务或卸载SMB组件；确需共享的，开启SMB签名与加密，并限制访问账号。

验证

外网执行 nmap -Pn -p445 <IP> 应显示filtered或closed；主机上 ss -lntp | grep 445 无输出即监听已关闭。

第3步：补齐补丁，优先处理暴露面

勒索病毒常利用已公开漏洞进入，补丁滞后就是给攻击者留门。不要追求一次全打，按暴露面排序。

1. 公网服务、VPN、远程桌面网关、邮件系统优先打。
2. 域控与文件服务器次之，安排维护窗口。
3. 内网终端滚动更新，先灰度一批观察兼容性。

# Windows 检查已安装补丁
wmic qfe list brief /format:table
# Linux（Debian系）
apt list --upgradable

暂时无法打补丁的系统，用防火墙限制来源、关闭不必要的服务做临时缓解，并登记在案跟踪。

第4步：账号与远程入口治理

弱口令和暴露的远程桌面是勒索团伙最爱的入口。这一步成本低、收益高。

• 禁用默认账号、清理长期不用的账号，管理员账号改名。
• 强制复杂密码并开启多因素认证，尤其是远程登录。
• 远程桌面不要直接暴露公网，走VPN或堡垒机，并限制来源IP。
• 关闭不必要的共享与匿名访问，检查 net share 输出。

第5步：做异地备份，并确保备份不可被加密

备份是勒索病毒防护的最后一道防线，但同盘备份、在线可写备份等于没有。落实3-2-1原则：三份副本、两种介质、一份异地。

# 简单异地同步示例（推送到备份机）
rsync -avz --delete /data/ backup@10.0.0.20:/backup/data/

备份账号与业务账号分离，备份机不加入同一域，降低被一锅端的风险。

第6步：恢复演练，验证备份真的能用

没演练过的备份只能算心理安慰。每季度至少做一次抽样恢复：从异地副本取回文件，在隔离环境还原并校验完整性。记录恢复耗时，明确RTO与RPO，确保真出事时知道先恢复哪套系统。

第7步：监控告警与应急响应准备

配置日志与告警，让异常早暴露：大量445连接尝试、异常账号登录、文件批量改名、备份任务失败都应触发通知。提前写好应急卡片：断网隔离、保留镜像、上报、从干净备份恢复、排查入口。日常可借助主机入侵防护与基线核查工具持续检查端口与补丁状态，例如 AegisX 提供的资产暴露面与基线合规检查能力，可把上述清单固化成周期性巡检项。

行动建议与检查清单

• 今天：完成资产盘点，删除安全组中445的公网入站规则。
• 本周：禁用SMBv1，清理弱口令与暴露的远程桌面。
• 本月：补齐高危补丁，落地异地备份并做一次恢复演练。
• 长期：把端口、补丁、备份状态纳入监控与月度巡检。

勒索病毒防护没有一招制敌，靠的是把每个基础项做到位并持续验证。先备份、再改配置、改完必验证，这三条顺序不要颠倒。

常见问题（FAQ）

直接关闭445端口会不会影响文件共享和打印？

会有影响，需先评估依赖。445端口承载SMB文件共享、打印机共享与部分域内访问。建议先在测试网段关闭，观察业务报错；生产环境优先在边界防火墙封禁445入站，仅对必要服务器开放白名单，并在主机侧禁用SMBv1、保留SMBv2/v3加密，既降低勒索横向移动风险，又不一刀切断业务。

补丁那么多，勒索病毒防护应该先打哪些？

按暴露面排序。优先打公网可访问服务、VPN、远程桌面网关和邮件系统的补丁，其次打域控与文件服务器，最后滚动更新内网终端。对无法及时打补丁的系统，用防火墙限制访问来源并开启主机入侵防护做临时缓解。补丁前先做快照或备份，分批灰度验证再全量。

异地备份多久做一次才算安全？

取决于数据变化速度，常见做法是每日增量加每周全量，关键数据可缩短到数小时。更重要的是保留多版本并至少一份离线或不可变存储，防止勒索加密备份本身。建议遵循3-2-1原则：三份副本、两种介质、一份异地，并定期抽样恢复验证。

怎么确认445端口真的关掉了？

从外部和主机两侧验证。外部用nmap扫描目标IP的445端口，或用telnet测试连通性；主机侧用ss -lntp查看监听、用防火墙规则列表确认封禁生效。Windows可用Get-SmbServerConfiguration检查SMB服务状态，并确认SMBv1已禁用，最后在日志中观察是否仍有445连接尝试。

已经中过勒索病毒的机器还能继续用吗？

不建议直接恢复使用。应先断网隔离、保留镜像取证，重装系统后再从干净备份恢复数据，避免残留后门或加密程序再次触发。同时排查入口：弱口令、暴露的远程桌面、未打补丁的服务或钓鱼邮件，修补后再接入网络，否则容易二次感染。