核心要点（TL;DR）

• 勒索病毒防护的核心是拦截加密行为与保住可恢复备份，二者缺一不可。
• 备份必须离线或不可变，在线可写备份会与主机一起被加密。
• 拦截加密靠行为监控：短时间大量文件重命名与写入是典型特征。
• 恢复能力要用演练验证，没演练过的备份等于没有备份。

凌晨两点，监控告警显示某台Web服务器上大量文件扩展名被批量改写，运维第一反应往往是「先看看再说」，而勒索病毒恰恰在这几分钟内完成了加密并开始删除卷影副本。勒索病毒防护不是装一个杀毒软件就完事，它是一条从加密行为拦截到备份恢复的完整链路：前面拦住加密动作，后面保住可恢复的数据。本文按可执行步骤展开，命令和清单可直接照做。

一、勒索病毒防护是什么：一条链路而不是一个点

勒索病毒防护指通过主机加固、行为监控、权限隔离与备份恢复四层手段，阻止勒索软件完成加密并保证业务可恢复。它的关键认知是：没有任何单一措施能保证不被入侵，但可以让加密行为被及时拦截、让备份不被一起加密。

• 入口层：补丁、弱口令、RDP暴露、钓鱼附件。
• 执行层：脚本解释器、计划任务、异常进程链。
• 加密层：批量重命名、批量写入、卷影副本删除。
• 恢复层：离线/不可变备份、恢复演练。

链路中任何一环缺失，攻击者都能把「加密」变成「数据永久丢失」。

二、加密行为拦截：从监控到阻断的具体做法

1. 用文件事件监控抓批量改写

在关键数据目录上监听重命名与写入事件，短时间高频触发即为可疑：

which inotifywait || apt install -y inotify-tools
inotifywait -m -r -e modify,create,moved_to,delete /var/www /data \
  --format '%T %e %w%f' --timefmt '%F %T' | tee /var/log/filewatch.log

配合简单阈值脚本：单分钟事件数超过200即告警并自动隔离主机网络。注意监控目录不要包含日志与缓存目录，避免误报。

2. 用auditd记录敏感系统调用

auditctl -w /data -p wa -k ransom_watch
aureport -k ransom_watch -i | tail -50

重点关注rename、unlink、execve组合出现的异常进程，例如vssadmin delete shadows、wbadmin delete catalog这类删除备份的命令，出现即高危。

3. 权限与共享面收敛

• 数据目录禁止Everyone写权限，按业务账号最小授权。
• 关闭不必要的SMB共享，smbstatus核查在线连接。
• 禁用或限制powershell、wscript、mshta的非必要调用。
• RDP只允许跳板机来源，开启登录失败锁定。

4. 阻断而非只告警

发现批量加密后立即执行网络隔离，保留内存与进程信息：

iptables -I INPUT -j DROP
iptables -I OUTPUT -j DROP
ps auxf > /tmp/proc_snapshot.txt
ss -antp > /tmp/net_snapshot.txt

在具备EDR能力的环境，可直接由行为规则触发进程终止与主机隔离，缩短响应窗口。AegisX的主机防护模块即提供文件批量改写与备份删除命令的实时拦截，可作为告警之外的自动阻断层。

三、备份恢复：让加密之后仍有退路

备份策略按3-2-1落地：3份数据、2种介质、1份离线或不可变。检查要点：

Linux下可用rsync做增量同步，但务必加上--backup与版本目录，避免被覆盖：

rsync -a --delete --backup --backup-dir=/backup/inc/$(date +%F) /data/ backup@10.0.0.9:/backup/data/

恢复演练步骤：从离线副本抽取数据到隔离环境，校验文件数量与哈希，启动业务验证读写，记录RTO。演练不通过，优先修备份而不是加更多防护设备。

四、上线检查清单

1. 关键目录已开启文件事件监控并有阈值告警。
2. auditd已记录敏感目录写与重命名事件。
3. 数据目录无Everyone写权限，SMB共享已收敛。
4. 卷影副本与备份目录有删除行为告警。
5. 至少一份备份离线或不可变，备份账号不可删数据。
6. 本季度已完成一次恢复演练并留存记录。
7. 主机具备异常加密自动隔离或进程终止能力。

五、行动建议

今天就做三件事：给核心数据目录挂上文件监控并设阈值告警；检查备份是否与生产同权限可写，改成独立账号加不可变存储；约一次恢复演练。勒索病毒防护的价值不在于「有没有被攻击」，而在于攻击发生时加密被拦住、备份还在、业务能回来。

常见问题（FAQ）

勒索病毒防护到底要防什么？

核心是两件事：阻止加密行为落地，以及保证备份可恢复。前者靠最小权限、补丁、EDR行为监控拦截异常批量加密；后者靠离线或不可变备份，确保主机被加密后仍有干净副本。只做其中一半，防护链路就是断的。

怎么第一时间发现服务器正在被加密？

看文件系统行为。典型特征是短时间内大量文件被重命名、扩展名批量变化、写入量突增。可用inotifywait监控关键目录，或用auditd记录rename与write事件，配合日志告警。发现异常立即断网隔离，不要先关机再排查，避免内存证据丢失。

备份做了为什么还是被勒索？

多数是备份与主机同权限、同网络、在线可写。攻击者拿到管理员权限后会先删备份再加密。解决办法是3-2-1原则加不可变存储：至少一份离线或对象锁备份，备份账号与生产账号分离，且备份端不允许生产端删除。

中小企业没有EDR怎么做加密行为拦截？

用系统自带能力起步：目录最小权限、关闭不必要的共享、开启审计日志、用inotify或文件完整性工具监控关键目录，并限制脚本解释器执行。再配合应用白名单与定期补丁。这些措施成本低，能挡住大部分自动化勒索投递。

恢复演练应该怎么做？

每季度至少一次：从离线备份随机抽取业务数据，在隔离环境完整恢复并校验可用性，记录恢复耗时。演练要覆盖数据库与文件两类数据，并验证备份账号权限是否最小化。演练不通过就修备份策略，而不是等真出事再试。