勒索软件防御策略

6.1 资产盘点范围：从 IT 到 OT、从设备到身份

方法论上采用"主动扫描 + 被动流量发现 + 日志关联 + 外部测绘"四源合一：以 CMDB 为主台账，以 EASM（外部攻击面管理）持续测绘互联网可见资产，以被动发现捕捉扫描不到的哑终端与 OT 设备。资产台账必须做到每台资产有责任人、每项暴露有审批记录。

6.2 攻击面收敛：高风险暴露面的处置基线

7.1 漏洞管理闭环与补丁 SLA

漏洞管理应形成"识别（扫描/情报）→ 验证（可达性评估）→ 修复（补丁/缓解）→ 复测（关闭确认）→ 豁免（风险接受）"五步闭环，并以 SLA（服务等级协议）保证时效。建议分级如下：

7.2 情报驱动的优先级排序

漏洞数以万计，真正需要紧急处理的永远是被积极利用的那一小撮。应建立"资产指纹 × 漏洞情报"关联机制：以 CISA KEV 目录^[8]、CNVD/CNNVD 通报、厂商安全公告为输入，自动匹配组织资产清单，输出"本单位真实受影响清单"。这比"全网扫描报千个高危"更能指导行动。

7.3 配置基线与安全加固

• 采用成熟基线：以 CIS Benchmarks^[16] 或厂商安全基线为起点，形成本组织配置基线，并通过自动化工具持续核查偏离（CIS Controls 强调软件与配置的持续管理）。
• 协议级收敛：禁用 SMBv1、启用 NLA、限制 NTLMv1、关闭无用服务与端口。
• Office 与脚本：默认禁用 Office 宏（仅审批后按文档启用）；强制"网络标记"（Mark of the Web）；开启 PowerShell 日志记录与约束语言模式；启用 AMSI。
• 技术债补偿控制：对无法补丁的老旧系统（OT 产线、遗产系统），以网络隔离、应用白名单、只读介质、堡垒机准入等补偿控制降低可达性与利用收益——补偿控制必须文档化并定期验证有效性。

8.1 多因素认证（MFA）全覆盖

MFA 是被所有主流指南一致列为最高优先级的控制项之一^[6][16]。落地顺序建议：远程访问与 VPN → 特权账号 → 邮箱（钓鱼首要目标）→ 全员。在 MFA 形态上，应优先采用抗钓鱼的基于 FIDO2/WebAuthn 的硬件密钥或平台密钥，警惕可被实时钓鱼代理（如伪 RMM 工具拦截）绕过的纯推送/短信形态——Qilin 家族已在实战中伪装远程支持工具诱导用户"批准"MFA^[31]。防范 MFA 疲劳（轰炸）攻击：对推送类 MFA 应启用"数字匹配"（Number Matching）确认机制，并设置单账号推送频率阈值与异常告警，防止攻击者高频触发推送、迫使用户"误批"放行。

8.2 特权访问管理（PAM）与服务账户治理

• 凭据保险库：特权账号口令纳入 PAM 保险库自动轮换，禁止共享与硬编码；运维人员"Checkout 使用、用后回收"。
• 即时授权（JIT/JEA）：按需临时提权、按任务最小授权，会话全程录屏审计，压缩攻击者拿到账号后的可用时间窗。
• 服务账户治理：服务账户逐一登记 owner、用途与权限；交互式登录默认禁用；定期改密；优先迁移至 gMSA 等托管形态。
• 定期权限复核：每季度复核特权组成员（Domain Admins 等）与高危权限（DCSync 所需复制权限等），"只减不增"。

8.3 零信任架构落地路线

零信任（NIST SP 800-207）不是单一产品，而是"以身份为中心、以策略为驱动、持续评估、最小权限"的架构方法论^[4]。对多数组织，建议按五步演进：

1. 身份先行：统一身份源（IdP），MFA 全覆盖，设备注册纳管。
2. 可视先行：绘制用户—设备—应用—数据的访问路径图，识别高风险路径。
3. 微分段：围绕敏感应用（备份系统、域控、核心数据库）建立精细化的访问策略。
4. 条件访问：按"身份可信度 + 设备健康度 + 位置风险"动态放行/阻断/要求二次认证。
5. 持续评估：会话期间持续评估风险信号，触发即重认证或断连。

8.4 AD 域健康度：勒索横向移动的主战场

AD 是勒索软件"一发入魂"的关键目标：控制域控即控制全网。应重点落实：部署只读域控（RODC）隔离分支机构；本地管理员密码方案（LAPS）终结弱口令本地管理员；域控物理/逻辑隔离并限制入站管理协议；监控异常特权变更与 DCSync 行为（详见第三部分检测用例）；备份系统域独立于生产 AD 域。

9.1 分段设计原则

• 按敏感度分区：办公网、生产网、核心业务网、备份网、开发测试网、OT 网相互隔离；安全设备管理口独立成网。
• 默认拒绝：跨区访问默认拒绝、按需开通、最小端口、限期回收；防火墙规则每季度审计，清理"临时放行"僵尸规则。
• 东西向可见：区内与区间流量有日志可查（NetFlow/防火墙日志接入 SIEM），否则分段只是"盲隔"。
• 服务器访问收敛：服务器仅响应来自跳板机/运维区的管理连接；普通办公网段默认不可直连服务器管理端口。

9.2 备份网络的特殊隔离

备份系统是勒索软件的头号猎杀目标（攻击者深知"备份在，勒索输"）。备份网络应与生产网隔离，备份管理平台使用独立域与独立凭据（不与生产 AD 共用管理员），备份存储启用不可变属性（见 §11），备份管理操作强制 MFA 并审计。360 反勒索服务 2025 年协助 2200 余名用户解密 486 万份文件、挽回损失逾 4,700 万元的经验表明：保留有效备份（或可利用的解密工具）是绝大多数"不付赎金"结局的前提^[32]。

9.3 OT / ICS 环境分段

工控环境遵循 IEC 62443 的分区与管道（Zones & Conduits）模型^[15] 与普渡（Purdue）参考层级，在 IT 与 OT 之间设置工业防火墙/DMZ，跨区数据交换经专用网关单向或白名单放行；结合 NIST SP 800-82 Rev.3 的 OT 安全指南^[5] 与我国 GB/T 36323-2018《工业控制系统安全管理基本要求》^[24] 落地。对无法打补丁的 PLC/DCS，以白名单、隔离与监测作为主要控制，以"防横向"弥补"难修补"。

11.1 3-2-1-1-0 备份策略

11.2 不可变备份的技术实现

• WORM / 对象锁：采用一次写入多次读取（WORM）存储或对象锁（Object Lock/保留策略），在保留期内任何账号（包括管理员）不可删除或篡改。
• 气隙与离线副本：磁带库离线轮换、专用备份网络物理隔离——Lynx 等新兴家族已专门强化"摧毁备份"功能^[31]，备份必须假设自己会被针对。
• 备份系统自身加固：备份管理平台独立域、独立凭据、MFA 登录；备份管理端口不对办公网开放；备份代理卸载需二次认证。
• 对抗 T1490（抑制恢复）：限制 vssadmin delete shadows /all /quiet 等命令的执行（应用白名单 + 命令行审计告警）；同时监控备份作业异常中断。^[17]

11.4 云与 SaaS 环境的数据保护

备份原则同样适用于云，但责任边界不同：云厂商保障基础设施韧性，云租户对自己的数据、账号与配置负责。责任共担模型下，云上防勒索应额外落实：

• SaaS 数据独立备份：Microsoft 365、Google Workspace、企业网盘等 SaaS 服务的数据保护遵循责任共担模型——"数据在云端"不等于"数据已备份"。应通过独立备份能力保留脱离 SaaS 租户的副本，防范"勒索加密 + 云端删除/篡改"的双重打击。
• 对象存储不可变：对对象存储启用 WORM / 对象锁（Object Lock）与 MFA 删除保护；快照与备份遵循与生产账号隔离的保存策略。
• 云凭证即王权：云访问密钥（AccessKey）定期轮换、最小权限、绑定使用场景；针对"批量加密对象存储""批量改写快照"类 API 调用行为建立异常检测基线。
• 跨账号/离线出口：关键数据保留一份脱离当前云账号体系的异账号、异云或离线副本，防范账号失陷导致的"备份同源被毁"。

11.3 恢复验证：备份有效性的唯一裁判

备份的可恢复性只能通过恢复来验证。建议：每月抽样恢复关键系统并记录 RTO 实测值；每季度开展含业务验证的恢复演练；每年一次覆盖全量核心系统的"归零恢复"演练（模拟无可用生产环境）。所有演练结果纳入第五部分 §20 度量体系，未达标项进入整改闭环。

12.1 钓鱼演练闭环

以"模拟钓鱼 → 即时教育（点击者现场学习）→ 复测验证"构成闭环。度量上关注两个互补指标：点击率逐期下降（易感人群收敛）与上报率持续上升（人肉传感器灵敏度）。对连续多期高点击的部门开展针对性辅导而非简单通报——惩罚导向会抑制上报，上报文化比低点击率更重要。

12.2 高危社会工程场景的专项提示

• 伪"远程支持"：冒充 IT 支持诱导用户运行远程工具并"批准"MFA——Qilin 实战手法^[31]。规范：任何远程协助须经服务台工单核验，员工有权主动回拨核实。
• 假 CAPTCHA / ClickFix：伪装人机验证诱导粘贴执行系统命令（Akira 等采用）。规范：浏览器页面绝不可能要求用户执行系统命令，遇到即举报。
• 节日与热点钓鱼：旺季（双 11、报税季、年终奖）钓鱼密度上升，应在高峰前开展针对性提示。