故障背景：深夜的沉默警报
周一凌晨2:30，企业安全运营中心（SOC）监控系统收到异常流量告警。某财务部门的三台工作站同时出现了加密文件扩展名变更的日志，且这些主机在极短时间内向同一VLAN内的其他15台主机发起了大量的SMB（端口445）连接请求。这并非典型的单点病毒发作，而是具备明显“蠕虫”特征的横向传播行为。
作为负责该企业IT基础设施的技术人员，我立即启动了应急预案。此次事件的核心在于如何在确保业务数据最小损失的前提下，迅速切断传播路径并定位初始入侵点。
第一阶段：紧急遏制与网络隔离
面对正在扩散的威胁，首要任务是物理或逻辑上切断传播链。由于攻击者主要利用SMB协议进行内网扫描和渗透，直接拔线可能导致数据写入中断造成文件损坏，因此采取了以下精准隔离措施：
- 交换机端口Shutdown：通过核心交换机控制台，立即将受感染主机所在网段的接入层交换机端口批量关闭。此举比防火墙策略下发更快速，能瞬间阻断内网通信。
- 禁用关键共享服务：在网络尚未完全切断前，通过远程管理服务器（仅通过带外管理通道）强制停止了域控制器上的Netlogon服务和文件服务器的Spooler服务，防止攻击者利用打印机漏洞（如PrintNightmare）进一步扩散。
- 域名解析劫持测试：临时修改内部DNS，将无法确认是否安全的业务服务器域名指向黑洞IP，防止恶意软件尝试回连C2服务器或下载后续载荷。
注意：在执行隔离时，务必保留一台未感染的干净工作站用于日志收集和分析，不要急于重启所有机器，以免内存中的恶意代码丢失，影响后续取证。
第二阶段：溯源分析与样本提取
内网流量停止后，我们开始对受影响最严重的三台财务终端进行取证。经过对事件查看器（Event Viewer）中Security日志的分析，发现所有感染主机的SMB会话均发起于同一台未域控管理的老旧Windows 7测试机。
1. 初始入侵点定位
该测试机曾用于接收外部供应商发送的大额发票PDF文件。通过对该文件进行沙箱动态分析，发现其利用了Adobe Reader的一个已知内存溢出漏洞（CVE-2023-xxxx），在本地执行了PowerShell脚本。该脚本下载了一个名为 svchost_update.exe 的恶意载荷，并将其注入到正常的System进程中以隐藏行踪。
2. 横向传播机制解析
恶意代码中包含一个自定义的爆破模块，它尝试使用本地管理员账号的弱口令（如 Admin@2023!）对同一网段的其他主机进行SMB登录。由于财务部门部分主机存在共用管理员密码的习惯，攻击者成功获取了控制权，并通过WMI（Windows Management Instrumentation）在服务端执行了勒索病毒解密器的反向操作——即加密脚本。
第三阶段：清除与恢复
确认为勒索病毒后，我们需要在不依赖付费解密的情况下尽可能恢复数据。
- 停止相关服务与进程：使用Autoruns工具全面检查开机启动项，删除恶意注册表项，并强制结束所有可疑的svchost子进程。
- 清除持久化机制：检查计划任务、服务以及NTFS备用数据流（ADS），发现攻击者在C:\Windows\Temp下创建了一个隐藏的流文件用于维持权限，已将其彻底清除。
- 数据恢复策略：鉴于备份策略为每日增量+每周全量，我们选择了最后一次干净的增量备份时间点进行还原。对于当天上午产生的新文件，由于已被加密，我们尝试使用了开源解密工具NoMoreRansom进行匹配，但未找到对应的私钥，这部分数据暂时标记为不可逆损失。
第四阶段：加固与预防
此次事件暴露出企业在终端安全和网络架构上的多重短板。事后，我们实施了以下整改措施：
1. 强化终端安全管理
- 补丁管理自动化：启用WSUS服务器自动推送高危补丁，并将Windows 7测试机强制下线，替换为受管终端。
- 最小权限原则：废除域内多个主机共享的本地管理员密码，改用微软LAPS（本地管理员密码解决方案）随机生成并轮换每台电脑的Admin密码。
2. 网络微隔离实施
- SMB访问限制：在防火墙上严格限制445端口的访问权限，仅允许特定的文件服务器IP与客户端通信，禁止客户端之间的P2P SMB连接。
- VLAN划分：将财务、研发、办公网络划分到不同的VLAN，并在三层交换机上配置ACL，禁止跨VLAN的非必要访问。
3. 完善备份体系
- 离线备份策略：引入immutable（不可变）备份存储，确保备份数据在一定时间内无法被修改或删除，即使域控被攻陷，攻击者也无法加密备份文件。
- 定期演练：每季度进行一次勒索病毒恢复演练，验证备份数据的可用性和恢复流程的效率。
总结
勒索病毒的威胁已从简单的加密勒索演变为针对企业内网横向移动的复杂攻击。IT人员必须具备快速识别异常SMB流量、准确溯源初始入侵点以及执行有效隔离的能力。通过构建“预防-检测-响应-恢复”的闭环体系，才能将安全事件的影响降至最低。