摘要：英德诺防勒索病毒解决方案

一、客户现有环境概况及勒索病毒风险分析

1、现有环境概况

当前核心业务系统硬件配置为一台华为2288H V5 物理服务器，存储配置采用三块6TSAS硬盘组建 RAID5 阵列；软件环境方面，服务器搭载Windows Server 2012 操作系统，部署 Microsoft SQL Server 2016 数据库，并划分 C 盘（系统分区）、D 盘（应用分区）、F 盘（数据分区）三个独立分区，其中 F 盘当前存储数据量约1TB，且已安装绿盘软件提供共享数据服务。

数据资产层面，客户核心数据涵盖开发数据、2D/3D 制图图纸、办公文档，以及即将上线的数码大方PLM系统数据库，数据类型多样且对业务连续性至关重要。网络环境方面，客户当前使用一条联通宽带（带宽 50-60M），内网节点数为 20 个，未来需同时支持 20个VPN节点远程访问需求。

（二）现有环境勒索病毒风险重点问题分析

结合客户现有环境配置，当前架构存在多处易被勒索病毒攻击的薄弱环节，具体风险点如下：

1、操作系统与数据库缺乏持续安全维护，漏洞暴露风险高：

核心服务器搭载的 Windows Server 2012 操作系统及 Microsoft SQL Server 2016 数据库，均属于发布时间较长的版本。若未持续跟进微软官方的安全补丁更新（如针对 SMB 协议漏洞、数据库注入漏洞的补丁），易成为勒索病毒的攻击入口——勒索病毒常利用未修复的系统/数据库漏洞入侵服务器，直接加密核心数据。

2、远程访问（VPN）防护不足，外部入侵风险突出：

目前没有VPN部署，存在服务器直接暴露公网的风险，未来需要做好VPN的安全加固措施。若仅依赖“账号 + 密码” 的单一认证方式，且密码复杂度低、未定期更换，黑客易通过暴力破解进入内网；账号泄露，勒索病毒可直接定位核心数据存储位置。

3、缺乏有效备份与应急恢复机制，感染后损失不可逆：

现有环境仅通过 RAID5 实现硬件存储冗余，但 RAID5 仅能应对硬盘物理故障，无法抵御勒索病毒加密 —— 若服务器数据被加密，RAID5 阵列中的所有数据仍会处于加密状态。同时，未配置独立的本地/异地备份方案，一旦感染勒索病毒，核心数据（如 PLM 系统数据库、2D/3D 图纸）无备份可恢复，将直接导致业务停滞。

4、终端与内网缺乏横向防护，病毒易扩散：

内网 20 个节点终端未部署统一的防护工具（如网络版杀毒软件、EDR），若某台终端通过网页、邮件附件感染勒索病毒，病毒可通过内网横向传播（如利用远程桌面服务、局域网共享）入侵核心服务器；且内网未做网络分段隔离（如核心服务器与普通终端未划分不同 VLAN），缺乏传播阻断措施，进一步放大感染范围。

针对以上环境现状和可能出现的问题，我们将为英德诺构建“预防+备份+应急”的三重防线，核心是切断传播路径、保住关键数据，具体解决方案如下：

一、核心数据备份方案（基于“3-2-1” 原则）

为抵御勒索病毒对核心数据的破坏，采用“群晖 + 鸿萌易备” 双重防护策略，具体部署及操作如下：

1. 硬件部署：

配置群晖 RS1221+ NAS 设备，采用 8 盘位设计，搭载三块16T希捷企业级硬盘并组建 RAID5 阵列，确保 NAS 自身存储的可靠性与冗余能力。

2. 整机自动备份：

通过群晖 RS1221 + 内置功能，配置核心服务器整机自动计划备份任务，根据客户业务低峰期（如夜间 23:00 - 次日 6:00）设定定时备份周期（建议每日1次），实现服务器系统、应用及基础数据的完整备份，避免单点故障导致的数据丢失。

3. 数据库专项备份：

借助鸿萌易备软件，针对Microsoft SQL Server 2016 数据库搭建专项备份链路，将数据库增量及全量备份数据定向存储至群晖 NAS，确保数据库数据与源数据实时同步（增量备份建议每4小时 1次，全量备份建议每周 1 次），且备份数据可快速恢复。

4. 多副本与异地备份：

在群晖NAS端开启数据多副本功能，对核心备份数据（如 PLM 系统数据库、2D/3D 图纸）生成 2-3 个本地副本；同时配置NAS与云盘（需选用合规云存储服务）的同步任务，实现核心数据异地备份，满足 “3-2-1” 原则中“1 份异地存储” 要求。此外，启用群晖 NAS 的不可变快照技术，对关键备份数据生成只读快照，防止勒索病毒篡改或删除备份文件。

二、基础架构加固技术防护方案

通过部署多层防护设备，构建从网络到终端的全链路安全屏障，降低勒索病毒入侵风险：

1. 部署深信服应用防火墙设备：

在客户网络出口处部署深信服应用防火墙，开启入侵防御（IPS）、恶意代码拦截、异常流量检测等功能，针对勒索病毒常用的攻击端口（如 445、135 端口）及传播协议进行拦截，抵御外部网络攻击对核心服务器及内网节点的渗透。

2. 部署上网行为管理设备：

在防火墙后端部署上网行为管理设备，对内部员工及 VPN 远程访问的网络行为进行管控，限制非必要的外部网站访问（如恶意软件下载站点、非法文件共享平台），阻断勒索病毒通过恶意链接、钓鱼邮件附件等途径传播，同时记录网络访问日志，便于事后溯源分析。

3. 部署终端防护系统：

为内网节点终端及核心服务器统一部署终端防护解决方案，可选用传统杀毒软件或EDR（终端检测与响应）系统，开启实时病毒查杀、漏洞扫描（建议每周1次全量扫描）、恶意程序隔离等功能，及时发现并清除终端中的勒索病毒程序，防止病毒在内部网络横向传播。

4. 部署 VPN 安全防护：

针对客户 20 个 VPN 访问节点需求，VPN 部署方案，其核心优势可直接抵御勒索病毒通过远程访问入侵的风险：一是强化身份认证，采用“账号密码+动态令牌/手机验证码”的多因素认证，避免单一密码被暴力破解，防止黑客冒用 VPN 账号进入内网；二是细分访问权限，按“最小权限原则”为不同 VPN 用户分配权限。三是加密传输通道，通过 SSL/TLS 协议对 VPN 传输的数据进行全程加密，防止数据在传输过程中被拦截、篡改，避免勒索病毒通过明文传输的漏洞植入内网；四是完善审计日志，记录 VPN 用户的登录时间、访问 IP、操作行为等信息，一旦出现异常访问（如非工作时间频繁尝试访问核心服务器），可快速定位并阻断，降低勒索病毒潜伏时间。

三、制定应急预案

提前明确病毒爆发后的相应流程，包括隔离感染设备、联系技术团队、评估数据损失等，避免因慌乱延误处置时机。

来源：科技迅