Windows服务器防勒索病毒的系统策略与备份恢复机制

针对Windows服务器的勒索病毒攻击，90%以上的初始入侵点集中在RDP远程桌面服务和SMB文件共享协议。攻击者一旦突破边界，会在30秒内运行PowerShell脚本遍历卷影副本，第一件事就是执行vssadmin delete shadows /all，把系统自带的还原点删得一干二净。所以防御策略的核心逻辑不是“会不会中毒”，而是“中毒后数据能不能拿回来”。

把默认3389端口改掉是第一步，但仅改端口远远不够。攻击者使用Masscan在6分钟内就能扫描整个互联网的开放端口，发现你的高位端口只是时间问题。真正有效的做法是部署RD网关或使用IPsec策略做端口敲门。在Windows防火墙中创建入站规则，将RDP访问限制在特定的内部管理网段，或者只允许经过VPN后的私有地址连接。对于必须公网暴露的场景，开启网络级身份验证(NLA)并设置账户锁定策略，连续5次错误密码后锁定账户30分钟，这能有效阻断暴力破解。同时检查本地管理员组，删除不必要的成员，将日常操作账户与管理员账户严格分离。

永恒之蓝漏洞利用的就是SMBv1，而Windows Server 2016及之后的版本默认已禁用，但大量存量服务器仍可能被手动开启。在PowerShell中执行Get-WindowsFeature FS-SMB1查看状态，如果已安装就立即卸载。同时通过Set-SmbServerConfiguration -EnableSMB1Protocol $false强制关闭。更重要的是开启SMB签名，执行Set-SmbServerConfiguration -RequireSecuritySignature $true，这会增加少许性能开销，但能防止中间人篡改SMB流量。对于域控环境，建议通过组策略统一推送SMB签名配置，确保每一台成员服务器都强制执行。

杀毒软件基于特征库的检测模式对变种勒索病毒有天然滞后性，AppLocker则是从执行源头阻断未知程序。配置思路不是一次性全部封死，而是先建立默认规则，再逐步收紧。创建三条核心规则：允许Program Files和Windows目录下的所有文件执行；允许管理员组的用户运行任何程序；普通用户只能运行已明确允许的路径。将规则设置为审核模式运行一周，收集事件日志中出现的合法程序路径，补充到允许列表中，然后再切换为强制模式。特别注意%TEMP%、%APPDATA%等用户可写目录，这些是勒索病毒释放恶意载荷的首选位置，必须明确拒绝执行权限。

现代勒索病毒家族几乎都使用无文件攻击技术，PowerShell是主要载体。不要只设置ExecutionPolicy为Restricted就以为安全了，攻击者可以用powershell.exe -ExecutionPolicy Bypass轻松绕过。真正有效的措施是启用PowerShell模块日志、脚本块日志和转录日志。通过组策略开启这些记录后，所有执行的PowerShell命令都会被详细记录下来，包括混淆过的代码在执行前的去混淆版本。将日志转发到集中式SIEM系统，设置告警规则，一旦检测到包含Invoke-Mimikatz、vssadmin delete、wbadmin delete等关键字的脚本块，立即触发安全响应流程。

vssadmin是勒索病毒首先要干掉的工具，但Windows还提供了更底层的卷影副本管理方式。通过组策略设置卷影副本的定时创建任务，每天两次快照，保留至少7天的历史版本。更关键的是设置欺骗陷阱：在服务器各个盘符的根目录下放置名为“backup”、“shadow”、“vss”等名称的诱饵文件夹，通过NTFS权限设置为仅允许特定服务账户访问，任何进程枚举或删除这些文件夹的行为都会触发安全审计日志。同时监控vssadmin.exe、wmic.exe、wbadmin.exe的进程创建事件，一旦这些进程被非备份计划任务触发，立即隔离该主机。

备份不是简单的复制粘贴，必须遵循3-2-1原则：至少3份数据副本，存储在2种不同介质上，其中1份必须离线或不可变。Windows Server自带的Windows Server Backup可以完成基础任务，但更推荐使用Veeam或Commvault等专业工具。关键配置点在于：备份存储仓库必须使用不同于生产域的独立认证体系，避免域控沦陷后备份服务器也被控制。对于NAS存储，开启快照锁定功能，设置保留期内不允许任何删除操作。最核心的一点是定期执行恢复演练，不是抽查单个文件，而是模拟整机崩溃后从裸金属恢复到业务可用的完整流程，记录每一步耗时，形成操作手册。

常规备份文件一旦被攻击者获取存储凭据，同样会被加密或删除。不可变备份技术通过WORM机制，在设定的保留周期内，任何用户包括管理员都无法修改或删除备份数据。如果使用Azure Backup，启用“软删除”和“恢复服务保管库”的不可变策略，设置14天以上的保留期。如果使用本地存储，选择支持对象锁定的S3兼容存储或磁带库。磁带虽然听起来古老，但物理气隙隔离的特性使其成为对抗勒索病毒的最后一道防线，成本远低于数据赎金。

Windows Server自带的Defender早已不是当年的摆设，开启云交付保护和自动样本提交后，其检测能力已进入第一梯队。重点配置受控文件夹访问功能，将存放核心数据的目录添加到保护列表，只有白名单内的应用程序才能修改这些目录下的文件。通过PowerShell执行Set-MpPreference -EnableControlledFolderAccess Enabled开启此功能。同时配置攻击面减少规则，将以下两条规则设为启用：阻止从电子邮件客户端和Webmail发起的可执行内容；阻止Office应用创建子进程。这些规则能拦截大量利用Office宏和钓鱼邮件投递的勒索病毒变种。

域控是攻击者的终极目标，一旦拿下域控，整个企业内网的备份系统、安全策略都可能被一键关闭。域控服务器不应安装任何第三方软件，不配置任何共享文件夹，不用于日常管理操作。将域控置于单独的OU中，应用最严格的GPO策略。使用Microsoft的Local Administrator Password Solution部署本地管理员密码随机化管理，确保每台服务器的本地管理员密码都是唯一且定期轮换的。部署AD回收站功能，防止攻击者删除域对象后无法恢复。最重要的是，域控的系统状态备份必须单独存储，这是恢复整个域架构的唯一途径。

中招后的第一反应不是拔网线，而是立即隔离但不关机。关机意味着内存取证数据丢失，也无法判断加密进程是否还在运行。正确做法是断开网络连接，保留现场，启动事先准备好的应急响应脚本，收集进程列表、网络连接、计划任务、服务状态等关键信息。恢复时优先从不可变备份还原，而不是尝试解密工具。如果必须支付赎金才能恢复，说明备份策略已经失败。恢复完成后不要立即接入网络，先在隔离环境中进行全盘扫描，确认没有残留的后门或定时任务，因为很多勒索组织会在受害者恢复后再次加密以索取二次赎金。

防御体系建好后，需要持续的威胁狩猎来发现绕过防御的攻击行为。重点关注的事件ID包括：4625登录失败、4688进程创建、4663文件访问审计、5140网络共享访问。将这些日志接入SIEM平台，建立基线行为模型。当某个账户在短时间内出现大量4625事件，或者某个进程在非工作时间访问大量文件，系统应自动产生告警。使用Sysmon部署更细粒度的进程监控，记录命令行参数、文件哈希、网络连接等详细信息，这些数据在事后溯源时价值巨大。