先假定“一定会被攻破”
过去几年，勒索攻击的目标发生了一个明显变化：从“加密数据换赎金”，转向先摧毁你的恢复能力，再谈赎金。攻击者会优先寻找并破坏备份系统、删除快照、窃取凭据后再横向移动。这意味着，如果防护规划只从“如何不被攻破”出发，一定会在最关键的环节失守。
更务实的出发点是：假定防护一定会被突破，然后回答两个问题——多久能发现、多久能恢复。 这两个答案，决定了勒索事件是一次可控事故，还是一次业务中断。
第一段：阻断入侵路径
勒索攻击的绝大多数入口是暴露在互联网上的服务、弱口令、以及钓鱼邮件。对应的动作优先级很高、成本却不高：
- 收敛互联网暴露面，梳理并关闭不必要的对外服务与端口；
- 清理弱口令与默认口令，对远程访问启用多因子认证；
- 限制横向移动路径——域控、共享目录、运维通道是攻击者的重点目标；
- 对邮件与终端做基础防护，减少钓鱼邮件的有效投递。
第二段：早发现、早隔离
勒索攻击从初始入侵到批量加密，通常有一个可观测的过程：凭据窃取、权限提升、横向探测、批量文件写入。留给防御方的窗口就在这个过程中。
值得优先建立的检测点包括：异常的批量文件写入或重命名行为、备份系统的异常访问与删除操作、非工作时段的大规模认证行为、以及主机上出现的异常加密进程。检测到之后的关键动作是自动隔离——把受影响主机从网络中摘除，而不是仅发一条告警等人来处理。
这里有一条容易忽视的要求：备份系统本身也要被监控，并且与生产网络的权限分离。 现实中不少案例是生产侧防护做得不错，但备份服务器使用同一套域账号，攻击者一步就拿到了“删除备份”的权限。
第三段：可验证的恢复
这是三段里最重要、也最常被敷衍的一段。备份有没有用，只有在恢复演练之后才能下结论。建议从四个维度检验：
- 副本的隔离性：是否存在离线副本或不可变副本，攻击者拿到生产网权限后能否删除它；
- 恢复时间：从决定恢复到业务可用需要多久，是否满足业务部门的容忍度；
- 恢复完整度：关键数据能否恢复到一致的状态点，而不是“恢复了但数据对不上”；
- 恢复的可执行性：恢复所需的凭据、介质、文档在断网条件下是否可得——很多单位的恢复流程依赖在线系统，一旦断网就跑不通。
常见缺口
- 备份与生产共用同一套权限体系，攻击者一步即可删除；
- 只做本地备份，没有异地或离线副本；
- 备份从未做过恢复验证，直到真出事才发现不可用；
- 检测只覆盖终端，未覆盖备份系统与域控等关键节点；
- 隔离动作依赖人工判断，没有自动熔断，错过处置窗口。
一句话总结：勒索防护的验收标准不是“装了多少防护”，而是能不能在不依赖生产网的前提下，用一份没人能动过的副本，在可接受的时间内把业务恢复到可用状态。