Windows服务器成为勒索病毒攻击的重灾区，根本原因在于攻击者已经不再依赖单一漏洞，而是组合利用弱口令爆破、漏洞利用、横向渗透和备份销毁等多种手段。很多服务器中招不是因为某个杀毒软件漏报了，而是因为整个防护体系存在结构性缺口。要真正防住勒索病毒，必须从暴露面控制、权限管理、系统加固、备份恢复和监测响应五个层面同时下手，而不是只装一个杀毒软件就认为安全了。

先堵住最容易被打穿的入口：远程桌面和端口暴露

绝大多数Windows服务器被勒索病毒入侵，第一步都是通过暴露在公网的远程桌面服务。攻击者用自动化工具扫描3389端口，然后进行暴力破解。一旦拿到管理员密码，后续所有防护都会失效。所以第一件事就是把远程桌面藏起来。如果业务上必须远程管理服务器，不要直接把3389暴露在公网，应该通过堡垒机、VPN网关或者带有访问控制的安全跳板来中转。如果条件不允许，至少要把默认端口改掉，并配置账户锁定策略，比如连续5次密码错误锁定账户30分钟。但改端口只能降低扫描命中率，不能作为主要防线。

同时要全面检查服务器上对外开放的端口。用命令 netstat -ano 查看所有监听端口，关闭一切与业务无关的服务。尤其是SMB的445端口，这是永恒之蓝等漏洞利用的核心通道。如果服务器不需要文件共享，直接在防火墙里禁用445端口的入站和出站流量。需要共享时，也只对特定内网IP开放，绝不对公网开放。Windows防火墙本身可以做到这些，不需要额外购买设备。

账户和权限是第二道防线，也是最容易被忽视的一环

很多管理员为了方便，所有服务器都用同一个本地管理员密码，而且密码强度很低。勒索病毒一旦攻破一台，就能用这个密码横向移动到整个内网的所有Windows服务器。必须立即清理所有不必要的本地账户，禁用Guest账户，删除或重命名默认Administrator账户。每台服务器的本地管理员密码必须不同，并且满足长度和复杂度要求。使用LAPS（本地管理员密码解决方案）可以自动管理每台服务器的本地管理员密码，定期轮换，避免密码复用。

日常运维不应该直接使用管理员账户登录。为每个运维人员创建独立的普通权限账户，需要提权时再通过UAC或者运行方式临时提权。这样即使某个运维人员的账户被窃取，攻击者也无法直接获得系统最高权限。对于服务账户，要单独创建并只授予运行服务所需的最小权限，不要把所有服务都跑在SYSTEM或者管理员权限下。数据库、Web应用、备份服务都要用独立的最小权限账户。

系统加固的核心是减少攻击面和阻断利用链

补丁管理必须形成制度。微软每月发布安全更新，很多勒索病毒利用的就是已经公开好几个月的漏洞。服务器如果长期不打补丁，等于把大门敞开。建议建立补丁测试和部署流程，对于安全更新，在测试环境验证后尽快推送到生产服务器。至少要做到每月一次全量补丁检查，对于紧急的高危漏洞，比如远程代码执行类漏洞，要在24小时内完成评估和修复。

关闭不必要的系统组件和功能。PowerShell是勒索病毒常用的攻击工具，很多攻击脚本通过PowerShell下载载荷、执行命令、遍历网络。如果业务上不需要PowerShell，可以通过组策略或者AppLocker限制PowerShell的执行。即使需要保留，也要启用PowerShell的脚本执行策略为仅允许签名脚本，并开启PowerShell日志记录，把日志发送到集中日志平台。另外，Windows脚本宿主、WMI命令行工具也经常被滥用，需要根据实际业务评估是否禁用。

启用AppLocker或者Windows Defender应用程序控制，可以阻止未授权的可执行文件、脚本和DLL运行。勒索病毒通常会释放到临时目录或者用户目录然后执行，AppLocker可以限制这些位置的可执行文件运行。配置规则时，默认拒绝所有，只允许业务所需的程序路径和签名程序。虽然前期配置工作量大，但这是目前Windows平台上最有效的应用层防护手段之一。

备份是最后的底线，但必须按防勒索标准来设计

勒索病毒进入系统后第一件事往往就是找备份文件，把备份删除或者加密，让受害者无法恢复。所以备份策略必须考虑到备份本身也会成为攻击目标。首先，备份不能只存在同一台服务器的本地磁盘上。至少要有三份备份，一份本地用于快速恢复，一份离线存储，比如磁带或者定期断开的移动硬盘，一份异地或者云端存储。离线备份是防止勒索病毒销毁备份的关键，因为攻击者无法通过网络访问到离线介质。

备份账户的权限要与日常运维账户隔离。用于备份的账户只拥有备份软件的访问权限，不能登录服务器桌面，也不能访问其他业务系统。备份存储设备要启用不可变存储或者WORM（一次写入多次读取）功能，确保备份数据在保留期内无法被修改或删除。很多备份软件和存储设备都支持这个功能，应该开启。定期做恢复演练，验证备份数据的完整性和可恢复性。很多企业以为有备份就安全了，结果真到恢复时发现备份文件损坏或者恢复流程跑不通。

监测和响应决定了你是被加密几台还是几百台

勒索病毒进入内网后，从第一台机器被感染到大规模加密通常有一个时间窗口，可能几小时到几天。如果能在早期发现异常行为，就能阻止横向扩散。Windows服务器必须开启并集中收集安全日志，包括登录成功和失败事件、账户创建、服务安装、计划任务创建、PowerShell执行等。把这些日志发送到SIEM或者集中日志服务器，设置告警规则。比如短时间内大量登录失败、非工作时间出现管理员登录、新增计划任务、大量文件重命名操作，这些都可能是勒索病毒的前兆。

文件服务器上要开启文件审计，监控大量文件的修改和重命名行为。勒索病毒加密文件时会产生海量的文件变更事件，通过实时监控文件操作频率，可以在加密早期触发告警。另外，可以部署蜜罐账户和蜜罐文件，在服务器上放置一些看似重要但实际无用的账户和文件，一旦这些蜜罐被访问或修改，就说明系统已经被入侵。

Windows Defender本身具备一定的防勒索能力，包括受控文件夹访问功能。这个功能可以阻止未授权的程序修改指定文件夹中的文件。对于关键业务目录，比如数据库文件目录、文件服务器共享目录，应该启用受控文件夹访问。同时保持Defender的实时保护和云保护开启，定期做全盘扫描。虽然Defender不能保证100%拦截，但配合其他防护措施，可以显著提高攻击成本。

网络层的隔离和分段同样关键

很多企业内网是扁平化结构，服务器和办公电脑在同一个网段，一旦一台办公电脑中招，勒索病毒可以直接扫描并攻击所有服务器。必须对网络进行分段，把服务器放在独立网段，通过防火墙限制办公网到服务器网的访问。服务器之间也要根据业务关系进行微隔离，比如Web服务器只允许访问数据库服务器的特定端口，其他流量全部拒绝。这样即使某一台服务器被攻破，攻击者也无法自由横向移动到其他服务器。

对于域环境，域控是勒索病毒的首要目标。攻击者一旦拿到域控权限，就能向所有域成员推送恶意策略和程序。域控服务器必须做最高级别的防护，不允许安装任何无关软件，不允许普通用户登录，日常管理通过专门的管理机进行。域管理员账户和本地管理员账户严格分离，域管理员账户不用于日常登录。定期审计域管理员组成员，清理不再需要的权限。

最后是人的因素和应急准备

再好的技术防护也挡不住一次成功的钓鱼邮件或者一次误操作。运维人员需要清楚哪些操作可能导致勒索病毒感染，比如随意下载运行未知来源的工具、关闭杀毒软件、使用弱口令等。制定书面的应急响应流程，明确发现勒索病毒后第一步该做什么：立即断网隔离感染机器、保留现场证据、通知安全负责人、启动备份恢复流程。不要第一时间重装系统，因为需要分析入侵路径，否则其他机器可能已经被植入后门，重装后还会再次感染。

Windows服务器防勒索病毒不是靠某一个产品或者某一个策略就能解决的。真正有效的方案是把入口收紧、权限收紧、系统加固、备份隔离、监测响应和网络分段组合起来，形成纵深防御。攻击者只要在任何一个环节遇到阻碍，就可能放弃目标或者暴露行踪。对于大多数企业来说，先把远程桌面入口管好、把补丁打上、把备份做离线，就已经能挡住相当一部分勒索病毒攻击。