安全服务

一月我们处理了四起客户侧的安全事件，其中三起与勒索软件有关。共同点不是攻击手法多高明，而是入口都很普通：一个没改密码的远程桌面、一个半年没更新的插件、一封带宏文档的邮件。

入口一：暴露在公网的远程登录

有的客户为了远程办公，把 3389 或 22 端口直接映射到公网，密码是八个数字。扫描器几个小时就能找到并尝试登录，成功后再关掉日志、加密共享盘。

处置建议：远程管理走 VPN 或跳板机，限制来源 IP；开启登录失败锁定；把管理员密码改为十二位以上并定期更换；关闭不必要的端口映射。

入口二：长期未更新的对外服务

建站程序、插件、中间件的漏洞披露后，往往一周内就会出现批量扫描。没人维护的测试站、忘记下线的旧版后台，是最容易被拿下的目标。

处置建议：建立组件清单，按月核对版本；测试环境不对外网开放；下线不用的站点与数据库账号；对必须保留的旧系统，用 WAF 加一层规则拦截。

入口三：带宏的邮件附件

伪装成报价单、对账单的文档，打开后提示“启用宏才能查看”，启用后下载并执行后续载荷。这类邮件通常来自被入侵的真实邮箱，过滤规则很难完全拦住。

处置建议：关闭办公软件的宏默认执行；对陌生附件先在沙箱或虚拟机打开；财务与人事岗位单独做一轮识别培训；邮件网关开启附件类型拦截。

出事后先做什么

第一步断网隔离，不要急着重启；第二步保留现场，记录进程、账号与共享连接；第三步用干净备份恢复，并核对备份是否也被加密；第四步改密码、打补丁、查入口，否则恢复后还会再次中招。

备份要满足“三二一”原则：三份副本、两种介质、一份异地。只放在同一台服务器上的备份，和没有备份区别不大。