一、 背景与事件概述
某中型制造企业IT部门于周五下午收到安全中心告警，显示多台终端存在"高危网络行为"。经初步核实，公司财务部的3台PC无法正常访问内部ERP系统，屏幕弹出勒索警告信，提示文件已被加密，并要求支付比特币。更严重的是，监控发现病毒正通过SMB协议向相邻的采购部和仓库部门终端进行扫描和渗透。
该案例具有极高的代表性：WannaCry及其变种利用Windows SMBv1协议的永恒之蓝（EternalBlue）漏洞进行传播，具备极强的自动化攻击能力和横向移动速度。对于缺乏核心资产隔离机制的企业网络，一旦爆发，往往在数小时内造成大面积瘫痪。
二、 应急响应头部阶段：紧急隔离与止损
面对正在发生的横向传播，首要任务不是立即杀毒，而是切断传播途径，防止病毒扩散至未感染区域（如服务器群或核心业务区）。
1. 物理与逻辑断网
- 物理断网：对于已确认感染的终端，立即拔除网线或关闭Wi-Fi开关。这是最彻底且快速的阻断手段。
- 交换机端口隔离：若IT人员具备网络管理权限，可通过Core Switch（核心交换机）将受感染VLAN或特定MAC地址的接入层端口Shutdown，避免逐个去机房拔线造成的时间浪费。
- 禁用SMB服务：在域控制器或防火墙上，临时封禁445端口（SMB）的外部访问请求，阻止病毒向其他网段发起连接。
2. 冻结备份快照
在采取任何重启或查杀行动前，立即检查备份系统状态。确保最近的系统镜像和数据备份是完整的、未被感染的。如果备份存储也连接在同一网络中，需立即将其物理断开或设置为只读模式。
三、 事件溯源与根因分析
隔离完成后，IT团队需要对感染源头进行复盘，以确定是外部入侵还是内部违规操作，并为后续加固提供依据。
1. 确定初始感染点
通过查看安全设备的日志和Windows事件查看器，发现头部台报警机器是财务部员工个人的办公PC。进一步调查得知，该员工在感染前一天下载了一份来自不明邮件附件的invoice.pdf.exe（伪装成PDF的可执行文件）。由于该终端未启用应用程序控制策略，用户直接双击运行，导致病毒植入。
2. 分析传播路径
日志显示，该病毒进程svchost.exe衍生出了malicious.exe，并尝试扫描局域网内IP段。它成功利用了目标机器上存在的MS17-010漏洞（SMBv1远程代码执行漏洞），通过Psexex工具在目标机器上创建了管理员账户并执行了加密程序。
3. 评估影响范围
- 受影响终端：财务部3台，采购部5台，仓库2台，共计10台主机文件被加密。
- 服务器风险：经查，核心文件服务器运行的是Windows Server 2019，默认禁用了SMBv1且已安装新补丁，因此未受到感染，但存在被尝试连接的日志记录。
四、 处置与恢复方案
针对已感染的主机，采用标准的"格式化重装+数据恢复"流程，而非尝试在线解密或清洗，因为勒索病毒的变种层出不穷，在线查杀极易残留后门或导致系统不稳定。
1. 全盘格式化与系统重装
将所有感染主机重新安装操作系统。务必从官方纯净镜像启动，避免使用可能携带病毒的Ghost版本。安装所有新的Windows安全补丁，特别是KB4012598及之后的累积更新，以修补SMBv1等相关漏洞。
2. 数据恢复策略
由于加密文件难以直接解密，恢复工作分为两步：
- 从备份恢复：优先使用IT部门上周保留的增量备份，将非新的数据恢复到干净的系统中。注意：在恢复文件前，务必对备份文件进行杀毒扫描，确保备份介质未被潜伏的蠕虫病毒污染。
- 尝试免费解密工具：对于部分旧版本的WannaCry变种，卡巴斯基或No More Ransom项目提供了免费的解密工具。虽然不能保证100%恢复，但在没有完整备份的情况下可作为最后手段尝试。本案例中，由于使用了较新的变种，加密算法已更新，官方免费解密工具失效，故仅依赖备份恢复。
3. 凭证重置
鉴于病毒可能通过Dumpsek或Mimikatz等工具抓取了本地管理员密码，必须在AD（活动目录）中强制重置所有受影响终端的管理员账户密码，以及域管理员密码，以防攻击者持有残留权限再次入侵。
五、 后续加固与建议
此次事件暴露出企业在终端管理和网络架构上的多个弱点。为防止类似事件再次发生，建议实施以下整改措施：
1. 禁用高危协议与服务
在所有Windows终端和服务器的组策略中，强制禁用SMBv1协议。SMBv1存在大量已知高危漏洞且不再被现代操作系统推荐，保留它只会增加攻击面。
2. 实施网络微隔离（Micro-segmentation）
改变传统的扁平化局域网架构。利用VLAN和ACL策略，将财务、采购、生产等不同部门隔离在不同的子网中，并严格限制子网间的互访权限。只有必要的业务端口（如ERP访问端口）才开放，阻断未经授权的横向移动。
3. 强化终端安全意识与管控
- 部署EDR（端点检测与响应）：替代传统的特征库杀毒软件，启用基于行为分析的终端防护，拦截未知的勒索软件行为。
- 应用白名单：限制非授权程序的运行，防止不明来源的可执行文件被执行。
- 定期开展钓鱼邮件演练：定期对员工进行网络安全意识培训，模拟钓鱼邮件测试，提高员工对可疑附件的识别能力。
六、 总结
勒索病毒攻击的核心在于"速度"与"恐惧"。IT管理人员在面对此类突发事件时，必须保持冷静，遵循"隔离优先、溯源跟进、彻底重建"的原则。虽然数据丢失是惨痛的教训，但通过完善的备份策略和扎实的应急响应流程，企业完全可以将损失控制在可承受范围内，并从中汲取经验，构建更具韧性的IT安全架构。
