需立即落实多层防护：一、及时更新系统与高危补丁，禁用未签名仓库；二、关闭非必要服务与端口，限制ssh密钥登录；三、禁用root远程登录，设acl写保护，启用selinux；四、配置主机安全平台勒索防护策略及诱饵文件；五、部署离线/写保护备份，启用版本控制与合规保留。
如果您正在管理Linux服务器，但担心其遭受勒索病毒攻击导致关键文件被加密锁定，则需立即落实多层系统级防护配置。以下是针对Linux服务器预防勒索病毒的具体操作指南：
一、强化系统更新与漏洞修复
及时修补已知漏洞是阻断勒索病毒初始入侵路径的核心手段，尤其需覆盖内核、Samba、OpenSSH、Redis等常被利用的服务组件。
1、执行系统全量升级命令：sudo apt update && sudo apt full-upgrade -y（Debian/Ubuntu）或sudo yum update -y（CentOS 7）/sudo dnf upgrade -y（CentOS 8+/AlmaLinux/Rocky）。
2、单独检查并安装高危漏洞补丁，例如针对CVE-2023-27350（Samba远程代码执行）或CVE-2024-3094（XZ Utils后门），使用apt list --upgradable | grep -i samba或rpm -q --changelog samba | head -20验证修复状态。
3、禁用自动安装未经签名的第三方仓库包，编辑/etc/apt/apt.conf.d/99verify-release（Debian系）或设置gpgcheck=1于/etc/yum.repos.d/*.repo中。
二、最小化服务暴露面
关闭非必要服务与端口可显著压缩攻击面，避免勒索病毒通过RDP替代协议（如VNC、SSH爆破）、SMB共享或数据库未授权访问横向渗透。
1、列出当前监听端口：sudo ss -tuln | grep LISTEN，识别非业务端口（如22、139、445、6379、27017）。
2、停止并禁用无关服务：sudo systemctl stop redis-server && sudo systemctl disable redis-server；对SSH服务限制仅允许密钥登录，编辑/etc/ssh/sshd_config，确保PasswordAuthentication no且PermitRootLogin no。
3、使用iptables或nftables封锁高风险端口，例如运行：sudo nft add rule inet filter input tcp dport {139, 445, 1433} drop（仅保留业务必需端口）。
三、实施严格权限与访问控制
勒索病毒在Linux平台常依赖提权行为扩大加密范围，因此必须限制普通用户及服务账户的文件系统写入能力与特权执行权限。
1、禁止root远程登录后，为运维人员创建独立管理账户：sudo adduser adminuser && sudo usermod -aG sudo adminuser，并立即移除默认root密码：sudo passwd -l root。
Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...
2、对关键目录（如/var/www、/home/*/Documents）设置不可继承的ACL写保护：sudo setfacl -m u:redis:rx /var/www（仅授予读+执行），并递归移除组写权限：sudo find /var/www -type d -exec chmod g-w {} \;。
3、启用SELinux强制模式（若系统支持），执行：sudo sed -i 's/SELINUX=permissive/SELINUX=enforcing/' /etc/selinux/config，重启后验证状态：sestatus返回enabled且enforcing。
四、部署主动式勒索防护策略
通过企业级主机安全平台内置的勒索病毒防护模块，可实现对文件异常批量加密行为的实时拦截与诱饵告警，无需依赖传统签名检测。
1、登录企业主机安全控制台，进入主机防御 > 勒索病毒防护 > 防护策略页签，单击添加防护策略。
2、配置策略参数：防护目录填写/var/www/html,/home/*/projects,/opt/app/data；防护文件类型勾选.docx,.xlsx,.pdf,.sql,.bak；防护动作选择阻止并告警；启用诱饵文件功能，在各防护目录下自动生成伪装财务报表、数据库备份等CanaryToken文件。
3、返回防护服务器页签，选中目标Linux服务器，点击切换防护策略，从下拉列表中选择刚创建的策略，单击确定完成绑定。
五、构建防勒索备份体系
即使防护失效，离线、不可篡改、版本隔离的备份仍是恢复业务的最后防线，必须确保备份过程本身不被勒索病毒劫持或污染。
1、启用云安全中心“服务器防勒索”功能：在控制台防勒索 > 服务器防勒索页签下创建策略，指定防护路径，并确认客户端自动安装成功（检查/usr/local/aegis目录存在且aegis_cli status返回运行中）。
2、配置本地备份脚本并脱离主账户执行：创建独立备份用户backupuser，将其shell设为/bin/false，仅授权对备份目录的写入权限；使用cron定时任务以该用户身份运行rsync，目标路径挂载为只读NFS或CIFS共享，或写入LVM快照卷。
3、对备份存储介质启用写保护：若使用USB硬盘，物理拨动写保护开关；若使用对象存储（OSS/S3），开启版本控制 + 合规保留策略（Retention Policy），设定最小保留期为30天，防止恶意删除或覆盖。
