勒索软件攻防：从入口到备份的纵深防御

勒索软件早已不是"中病毒、交赎金"那么简单。如今的攻击者会先窃取数据再加密系统，用"公开曝光"二次施压——这就是双重勒索。对付它，单点防御毫无意义，必须在整条攻击链上层层设防。

一、攻击链三阶段

• 入口：钓鱼邮件、暴露的远程桌面/VPN、未修补的漏洞。守住入口，就挡住了大半。
• 横向移动：拿到立足点后提权、抓凭证、向核心服务器蔓延。微隔离与最小权限是关键刹车。
• 加密与渗出：清除备份、加密数据、外传敏感文件。备份的独立性与检测外传是最后防线。

二、备份是保命符，但要"防得住"

光有备份不够，攻击者会专门删备份。真正的黄金法则是"3-2-1-1-0"：多份、多介质、异地、离线/不可变副本、定期演练可恢复。不可变存储（WORM）能防止备份被篡改。

三、应急预案决定损失

事前演练一套清晰的响应流程：隔离、取证、评估、恢复、通报。断网隔离要快，恢复顺序要按业务优先级，切勿盲目支付赎金——付了钱也未必能解密。

勒索攻防比拼的不是谁更聪明，而是谁把无聊的基本功做扎实：补丁、备份、权限、演练。细节决定你是恢复如初，还是被迫谈判。