勒索软件怎么防：四个入口、备份为什么会一起失效、中招后 30 分钟处置
勒索软件的攻击目标已经从「大企业」转向「家庭和小公司」：因为大企业有备份团队，而家用 NAS 和小微企业的服务器往往只有一份「连着电脑的备份」，加密时一起被加密。
这篇讲三件事：它是怎么进来的、为什么备份是唯一可靠的解药（以及备份为什么会一起失效）、以及中招后的 30 分钟该做什么。
四个最常见的入口
| 入口 | 典型形式 | 为什么有效 |
|---|---|---|
| 钓鱼附件 / 链接 | 发票.zip、简历.iso、会议邀请链接 | 人先被说服，技术防护被绕过 |
| 暴露的远程桌面（RDP） | 3389 端口直接映射到公网 | 密码撞库成功即拿到桌面权限 |
| 未打补丁的对外服务 | VPN、NAS、旧版 Web 服务 | 公开漏洞利用工具随手可得 |
| 盗版软件 / 激活工具 | 「破解版」安装包、KMS 激活器 | 安装包本身就带载荷 |
注意第二个入口：把家里或公司的电脑远程桌面直接映射到公网，是目前最省事也最危险的暴露方式。要么不做，要么必须走 VPN + 双因素，并且限制来源 IP。
为什么「我备份了」仍然会中招
勒索软件在加密前会做一件事：先摧毁备份。常见的三种失败模式：
- 网络备份一直在线：NAS 长期挂载为网络驱动器，攻击者用同一账号就能加密备份盘；
- 用域管理员账号跑备份：拿到域管等于拿到所有备份的写权限；
- 云盘同步 ≠ 备份：同步会把「加密后的文件」同步上去，覆盖掉云端的好版本。
所以备份的关键不是「有没有」，而是三个属性：离线（或不可变）、版本化、权限分离。具体到 3-2-1 的结构与恢复演练，可以看备份 3-2-1 策略。
分层防护：按「个人 / 家庭 / 小微企业」
| 措施 | 个人 | 家庭 | 小微企业 |
|---|---|---|---|
| 系统与软件自动更新 | 必做 | 必做（含路由器、NAS） | 必做 + 补丁清单 |
| 日常账号不用管理员 | 建议 | 建议 | 必做，管理员账号单独 |
| 关闭 Office 宏、禁用 .iso/.lnk 附件 | 建议 | 建议 | 必做（邮件网关策略） |
| RDP/管理端口不对公网开放 | — | 必做 | 必做 + 来源 IP 白名单 |
| 离线或不可变备份 | 必做（移动硬盘定期断开） | 必做（NAS 快照 + 离线盘） | 必做（异地 + 不可变存储） |
| 备份账号与日常账号分离 | 建议 | 建议 | 必做 |
| 双因素（VPN/邮箱/云盘） | 必做 | 必做 | 必做 |
| 终端防护 / EDR | 系统自带即可 | 系统自带 + 定期扫描 | 建议上 EDR |
这张表的逻辑是：先降概率（补丁、宏、暴露面），再降损失（离线备份、权限分离）。只做前者，一旦漏一次就没有退路；只做后者，会频繁在「恢复」上耗时间。
早期信号：出现这些立刻断网
- 大量文件后缀突然变成
.locked、.enc或一串随机字符； - 桌面或每个文件夹里出现
README.txt、DECRYPT.html之类的文件； - 磁盘占用与 CPU 突然飙升，风扇狂转，但你没在跑大任务；
- 共享盘、NAS 里的文件批量变成只读或无法打开；
- 杀毒软件被禁用、防护记录被清空、桌面上多了陌生程序。
看到任意两条，就按「已感染」处理，不要等确认。
中招后的 30 分钟
- 断网：拔网线、关 Wi-Fi，先切断横向移动。不必纠结「要不要关机」——断网比重启更重要；如果设备已无法操作，直接断电也比继续联网好；
- 隔离受影响设备：把同一网络里的其他机器也断网，尤其是挂着 NAS 与备份的机器；
- 保留现场：不要急着重装、不要删勒索信，拍照记录文件名、钱包地址、联系方式，这些是报案与后续取证的依据；
- 用另一台干净设备查解密工具：先到「No More Ransom」这类公开项目里按勒索家族名查是否有免费解密器，部分老家族确实可解；
- 不付赎金：付了也未必解密，且会标记你为「愿意付钱的目标」，二次攻击概率上升；
- 从离线备份恢复：确认备份未被污染（用版本时间点早于感染时间），先恢复到隔离环境验证，再回到生产；
- 报案：企业向属地公安网安报案，保留日志；个人涉及金额或重要数据也建议报案。
顺序上最容易错的是第 6 步：没验证就整机恢复，结果把带毒的文件一起恢复回来，几天后再次加密。正确做法是先恢复到隔离机器、扫描、确认无误再上线。
恢复之后：把这次的漏洞补上
- 查清入口：邮件网关日志、VPN 登录记录、RDP 来源 IP、补丁版本；找不到入口，复发概率很高；
- 改所有高权限密码（域管、NAS、备份、云盘），并开双因素；
- 把备份改成「离线 + 版本化 + 独立账号」，并做一次恢复演练；
- 关闭不必要的端口映射，管理界面只在内网或 VPN 后访问；
- 给全员做一次「附件与宏」的提醒，并开放可疑邮件上报通道。
常见问题
个人用户真的会被盯上吗？
会，但多数不是「被针对」，而是「撞上了自动化扫描」：暴露的 RDP、弱口令的 NAS、没更新的路由器，都是批量扫描的目标。个人防护的重点因此是「减少暴露 + 离线备份」，而不是研究勒索家族。
云盘里的文件会被加密吗？
云盘本身不会被加密，但同步客户端会把本地被加密的文件同步上去，覆盖云端版本。所以关键是版本历史与回收站：确认云盘保留了足够长的历史版本，并知道怎么回滚。
杀毒软件能不能拦住？
能拦住一部分，尤其是已知家族；但勒索软件更新很快，且常通过「用户主动运行」进入。把杀软当最后一道而不是唯一一道，前面仍要靠补丁、权限与备份。
付赎金能拿回数据吗？
不保证。部分团伙收了钱仍不解密，或解密工具本身有缺陷。对个人和小企业，更现实的选择是从备份恢复，把损失限定在「最近一次备份之后的数据」。
小结
勒索软件的防护可以压成一句：降低进入概率（补丁、宏、暴露面、账号权限），保证退出能力（离线、版本化、权限分离的备份），并准备好 30 分钟处置流程。前两项决定「会不会中」，第三项决定「中了以后要疼多久」。备份的具体结构与演练方法，见备份 3-2-1 策略。