WannaCry勒索风暴复盘：企业该如何防护

2017年5月12日，一场史无前例的网络攻击在全球范围内炸开。一种名为WannaCry的勒索病毒，像野火一样蔓延到上百个国家，大量医院、学校、企业的电脑被锁死，屏幕上弹出索要赎金的弹窗。我第一时间跟进了事件的技术细节，今天就来复盘一下：它为什么能传播得这么快，以及我们作为技术人员，该如何保护自己的系统。

它是怎么一夜之间传遍全球的

WannaCry之所以危害这么大，靠的不是多么高深的社会工程学，而是利用了一个早已公开披露的操作系统漏洞。这个漏洞存在于Windows的网络文件共享服务中，攻击者只要扫描到开放了相关端口、又没打补丁的机器，就能自动植入病毒，并且它还会在被感染的机器上自动继续扫描、感染下一台——像蠕虫一样自我复制、自我扩散。

这就是它可怕的地方：它不需要你点任何可疑邮件附件，只要你的电脑连着网、系统又刚好漏打了那个补丁，它就能自己找上门。一夜之间，全球成千上万的机器中招。事件最紧张的时候，连一些医院的急诊系统都被迫停摆，影响到了真实的人命。

最扎心的真相：补丁早就打过了

复盘整个事件，最让人唏嘘的一点是：其实在攻击爆发之前，微软就已经针对这个漏洞发布了安全补丁。也就是说，只要你及时把系统更新打上，本可以完全躲过这一劫。

问题就在于，太多机构因为“怕更新出问题”“怕影响业务运行”，长期不给系统打补丁，任由机器裸奔在网络上。很多老系统更是早已停止维护，连补丁都没人给。WannaCry像一面镜子，照出了整个世界在系统运维上的普遍欠债——我们总觉得攻击离自己很远，却忽视了最基础的安全 hygiene。这一课的代价，极其昂贵。

企业到底该怎么防护

从这次事件里，我总结出几条任何企业都应该立刻落地的防护底线。

第一，及时打补丁。听上去老生常谈，却是最重要的一条。建立起常态化的系统更新机制，别让“拖一拖”变成致命的漏洞。第二，做好网络分段和端口管控。不是所有机器都该直接暴露在公网上，把内部服务该隔离的隔离，该关的危险端口关掉，攻击者自然少了很多入口。

第三，也是最关键的一条——定期备份，并且备份要和生产系统物理隔离。勒索病毒最怕的就是你有干净的备份：文件被加密了，大不了格式化后从备份恢复，一分钱赎金都不用交。很多中招的企业之所以被动，就是因为唯一的数据就在那台被锁死的机器上。把“3-2-1备份”真正做到位，你就握住了对抗勒索病毒最有力的武器。

真中招了，应急响应怎么做

再完善的防护也不能保证万无一失，所以每个团队都该有一套自己的应急响应预案，而不是出事了临时抓瞎。一旦发现疑似感染，第一步永远是“隔离”：立刻把中招的机器从网络上断开，别让病毒继续横向扩散——这一步做到位，往往就能把损失控制在最小范围。

接着是判断和取证：搞清楚是哪一种病毒、加密了哪些文件、有没有蔓延到备份。然后才是恢复：从隔离的干净备份里把系统重建起来，而不是急着交钱赎金。交赎金这件事，我个人一贯不建议——既不能保证拿到解密工具，还等于变相喂养这个黑色产业。平时把预案演练几遍，真到出事那天你才不会手忙脚乱。

它背后是一条成熟的黑产链

很多人以为勒索病毒是哪个黑客一时兴起做的，其实背后已经形成了一条分工明确的黑色产业链。漏洞有人负责挖掘和贩卖，病毒有人负责打包传播，收来的赎金还要靠匿名货币洗白、层层提现。这是一门被当作“生意”来经营的地下经济。

理解了这一点，你就明白为什么勒索攻击会愈演愈烈——因为它有利可图、门槛还在不断降低。攻击者甚至推出了“勒索软件即服务”，把工具打包卖给根本不懂技术的人。面对这样一条产业化的黑产，单靠某一家企业防护是不够的，它需要技术防护、法律打击、用户教育多管齐下。这也是为什么这几年网络安全越来越成为国家和企业级的战略议题。

普通用户该知道什么

如果你是普通用户，也不用太恐慌，记住几点就够了。及时更新系统和杀毒软件，别一直用着早已停止维护的老操作系统；重要文件养成定期备份的习惯，别只存在电脑里一份；收到来历不明的邮件附件、链接，多留个心眼，别轻易点开。

最危险的心态是“我一个普通用户，谁会来黑我”。恰恰是这种侥幸，让大量防护松懈的机器成了攻击者随手收割的对象。安全这件事，门槛往往不在技术多高深，而在于你愿不愿意把那些枯燥的基本功坚持做下去。

写在最后

WannaCry是一个分水岭式的事件。它第一次让全世界——从政府到企业到普通人——真切地意识到：网络安全不是遥远的技术话题，它能让医院停摆、让工厂停产、让真实的社会运转受到冲击。

对我们做技术的人来说，它更是一记响亮的警钟。我们热衷于搭建炫酷的系统，却常常在最基础的补丁、备份、权限管理上偷工减料。安全没有捷径，它就是由这些不起眼的日常积累构成的。今天多花一小时打补丁、做备份，明天就可能在一次突如其来的攻击中，为你省下无数倍的代价。

我还想说的是，安全这件事，最终拼的不是谁的技术更高明，而是谁的习惯更牢靠。一个团队如果把“定期备份、及时更新、最小权限”当作理所当然的日常，它被一次攻击击穿的概率就会大大降低。相反，再昂贵的安全设备，如果配上一堆松懈的日常操作，也不过是个摆设。把安全内化为一种工程纪律，才是抵御这场长期战争最扎实的防线。

WannaCry已经过去，但它敲过的警钟不应被忘记。只要还有系统不肯打补丁、还有数据没有备份、还有网络端口随意敞开，下一场类似的攻击就随时可能到来。安全不是一劳永逸的工程，而是一场和松懈不断斗争的持久战。对每一位技术负责人来说，这都是必须正视、不容侥幸的责任。平时多一分谨慎，危机来临时就多十分主动，也少十分慌乱。