彻底防御windows勒索攻击需构建“进不来、动不了、秒级恢复”三层体系：启用受控文件夹访问并配置可信应用，实施3-2-1-1-0备份且每月验证还原，堵住office宏、rdp暴露、管理员账户三大入口，并通过asr规则与日志监控实现快速响应。
彻底防御 windows 环境下的勒索软件攻击，不能只靠“装个杀毒软件”或“点一下扫描”，而要构建多层、主动、可验证的防护体系。核心逻辑是：让攻击者进不来、进来了也动不了关键数据、即使失守也能秒级恢复——三者缺一不可。
立即启用并加固 Windows 内置勒索软件防护
Windows 安全中心已集成成熟、免额外费用的勒索软件防御能力，但默认未必全开：
- 打开「设置 → 更新和安全 → Windows 安全中心 → 病毒和威胁防护 → 管理勒索软件防护」
- 开启「受控文件夹访问」，并手动添加你的文档、桌面、下载、OneDrive 同步文件夹等高频目标路径
- 勾选「允许应用通过受控文件夹访问」，仅保留你日常必需的程序（如 Word、Excel、Photoshop），禁用所有未知或临时下载的 EXE
- 同步开启 OneDrive 的「文件历史记录」和「版本恢复」功能，它能在勒索加密后自动回滚到 30 天内未被污染的版本
实施「3-2-1-1-0」备份策略并定期验证
“有备份≠能恢复”。勒索软件常专门删除或加密本地备份，甚至攻击网络共享盘。真正有效的备份必须满足：
- 3份副本：原始数据 + 本地备份 + 异地/云备份（如 Azure Backup 或 OneDrive 企业版）
- 2种介质：例如 SSD + 离线 NAS，或硬盘 + 不可变云存储（Azure Immutable Blob）
- 1份离线：至少一份备份物理断网（如每周拔下一次外接硬盘，锁进抽屉）
- 1份不可变：在 Azure Backup 或支持 WORM（Write Once Read Many）的云服务中启用防删除/防覆盖策略
- 0次未验证：每月至少执行一次完整还原测试——不是看“备份完成提示”，而是真把一个业务文件夹还原出来，打开确认内容完整
切断勒索软件最常用的入侵路径
超 70% 的勒索攻击始于人为失误或过期漏洞，重点堵住这三条路：
- 禁用 Office 宏+启用受保护视图：在 Word/Excel 中，「文件 → 选项 → 信任中心 → 信任中心设置 → 宏设置」选“禁用所有宏，并不通知”；同时确保「受保护视图」对来自互联网和邮件的附件默认开启
- 关闭远程桌面（RDP）公网暴露：除非绝对必要，禁用路由器端口映射；若需远程办公，改用 Windows 自带的「远程桌面网关」或 Microsoft Intune 配置的条件访问策略
- 停用本地管理员账户日常使用：为每位用户创建标准账户，仅在安装软件或系统维护时临时提权；用 Microsoft 帐户登录 Windows，启用双重验证，避免密码复用
建立最小权限与快速响应机制
防御失效时，控制损失比幻想“永不中招”更现实：
- 在组织环境中，用 Microsoft Entra ID（原 Azure AD）限制特权组成员，禁止普通员工加入「Administrators」「Backup Operators」等高危组
- 在 Windows 安全中心启用「攻击面减少规则（ASR）」，尤其是“阻止从电子邮件客户端和 Web 浏览器中执行不受信任的脚本”和“阻止 Office 应用创建子进程”
- 部署轻量日志工具（如 Windows 事件查看器订阅「4688 进程创建」+「5059 防病毒操作」事件），一旦发现异常批量重命名（如 .lock、.crypt）、高频加密行为，立即断网并隔离设备
