制造业防勒索 · 实操手册

装了防火墙、杀了毒、过了等保，
服务器怎么还中勒索病毒？

——照着做就行，一次讲清楚 8 道防线

本文看点

⚠️ 先拆一个误区

"防火墙买了、杀毒装了、等保过了，应该安全了吧？"——这是最常见的误判。勒索病毒不靠硬破墙，走的是钓鱼邮件、暴露的远程桌面(RDP)、没打补丁的 VPN/边界设备，从"侧门"溜进来再横向移动。墙再厚，门没关好照样进。

为什么制造业（尤其是图纸）是重灾区

勒索团伙挑目标看两点：数据值不值钱、停一天亏不亏。制造业的图纸、工艺、BOM、客户名单正好全中。防勒索，既要防"锁"，也要防"偷"——只做一边都不够。

防勒索的 8 道防线

照着做，省心。

做法准备一台 NAS 专做备份，与生产网隔离、不长期映射成员工可见盘符；开启快照和版本历史（保留 7/30/90 天多时间点）；关键共享设为不可变(WORM)，写一次后锁定，连管理员和勒索程序都改不了；再做异地：两台 NAS 异地互备 + 一份离线副本（满足 3-2-1）；设定自动排程（每日增量、每周全量）；定期做恢复演练。

所需NAS 设备（需支持快照、不可变、异地复制）、备份/同步计划。

为什么 NAS 特别抗勒索：①隔离性——独立存储、不常驻域/不映射，勒索横向移动够不到；②快照回滚——被加密可一键回滚到干净版本，不必交赎金；③不可变保护——WORM 副本改不了、删不掉；④异地容灾——本地全毁也有副本；⑤自动免人工——排程备份，避免"备份盘正好也中招"。

做法关掉不必要的 3389(RDP)；收敛对外端口，只留业务必需；VPN 强制多因子(MFA)；边界设备及时升级；做一次资产与端口梳理。

所需下一代防火墙(NGFW)、带 MFA 的 VPN 网关、资产/端口梳理。

做法先把每台服务器的操作系统（Windows Server、Linux 等）版本和补丁基线摸清；再列出服务器上业务应用的版本——OA、ERP、PLM、MES、数据库（SQL Server、Oracle、MySQL 等）、IIS、Nginx、Apache、应用中间件等等。建立统一的补丁台账，按风险等级排补丁窗口：紧急高危漏洞 72 小时内、重要漏洞 7 天内、日常月度批量更新。先在测试环境验证（特别是 ERP、数据库这类业务强相关的），再推到生产。0day 挡不住，但绝大多数中招的就是已公开很久的已知漏洞——补丁能挡掉一大半。

所需漏洞扫描工具（覆盖操作系统 + Web/中间件/数据库漏洞）、统一补丁/终端管理平台、可控的测试与灰度发布流程。

做法研发网、生产网、办公网用 VLAN 分段隔离；域控、文件服务器独立网段并加固；员工平时用普通账号，不常驻管理员权限；特权账号单独管理、按需提权。

所需支持 VLAN 的三层交换机、域控(AD)加固、特权账号管理(PAM)。

做法传统杀毒不够看，上 EDR（端点检测响应）拦异常行为、可一键隔离中毒主机；邮件网关拦钓鱼入口、对附件做沙箱检测——绝大多数勒索从一封邮件开始。

所需EDR、邮件安全网关（含反钓鱼/沙箱）。

做法定期做钓鱼演练，让全员知道"可疑链接/附件别点、先问 IT"；把数据安全纳入新员工入职与日常宣导。

所需安全意识培训材料、钓鱼演练平台。

做法真中毒：立即断网、隔离主机、保护未加密机器、按预案从干净备份恢复、别急着交赎金（交了也不保证给钥匙）。预案平时写好、演练过，出事才不乱。

所需应急响应预案文档、隔离/恢复流程。

入侵和勒索病毒常先清理系统日志、抹掉痕迹。一旦本机日志被清，出事后既无法溯源攻击从哪个口子进来，也不知道到底丢了什么、影响了谁。把服务器日志实时/定时备份到独立的日志服务器（异机），生产机被清被锁日志还在，事后能还原攻击链、定位入口、固定证据。

相关产品日志审计系统、SIEM（安全信息与事件管理）、堡垒机；上邦行为审计（LSM）可覆盖终端与操作日志审计。

提示 —— 一个常被误解的点

"我们上了文件加密 / 透明加密，是不是就不怕勒索了？"——要诚实说：透明加密防的是"偷"和"乱发"，不是"锁"。勒索病毒在本地把文件再加密一层，原来的加密挡不住它锁你的文件。

分工是这样的：备份 + EDR + 分段 挡"锁"；文件加密 / DLP 压住"偷"——双重勒索里被拖走的图纸、客户资料，加密让它拿到的是乱码。别指望一个产品包打天下，分层防御才是正解。

想省心？先认清自己的风险

以上 8 条，落地要跨多家厂商、自己攒方案费劲。
联系我们，免费做一次数据安全风险评估——看清公司最值钱的图纸/文档在哪、哪些口子对外敞着，给你一份可落地的优先清单。

找上邦，免费咨询

服务热线 400-667-6771 · 0531-88191166
（以上正文为安全科普，不构成具体实施方案，落地请以专业评估为准）