1.迅速隔离中了勒索病毒的主机，有条件应该立即切断互联网；
2.关闭所有对外映射的3389端口和内部不必要的445端口；
3.在边界位置通过防火墙等设备建立访问控制策略，封堵入站的3389端口，防止外部的横向、纵向攻击；
4.如果要使用SMB服务器尽量设置较为复杂的密码，建议密码设置为字符串+特殊字符+数字，并且不要对公网开放，建议配合VPN使用；
5.使用勒索病毒专杀工具进行病毒查杀，隔离，删除。数据重要，尝试联系数据恢复产商，对于中毒主机，建议重装系统，防止后门。
6.安全整改加固，联系专业网络安全服务商协助。

火绒企业版与火绒个人版区别不大，但是企业版可以统一的对终端进行管控，还有一些特有的防护功能。例如：统一下发查杀任务、通过远程桌面处理问题（可代替系统自带远程桌面功能）、可以对U盘进行注册以后只允许在火绒内网使用、终端具有二次登陆验证的功能，可以有效防御黑客爆破攻击等。企业版对于个人版最大区别就是：方便集中运维管理，及时有效的处理问题。

背景：云系统由于部署在各类云平台上面，而云平台的实际物理地址往往和云系统网络运营者不在同一地址，大型云平台还有许多物理节点，很难确定云平台的具体物理地址，那么这种情况下云系统到底到云平台所在注册地址进行系统备案，还是到自己所在注册地址进行备案，如果自己的运维团队和注册经营地址不一致怎么办？到底去哪里备案？不少人以为是到注册经营地进行备案。

答：云系统应当在系统实际运维团队所在地市网安部门进行系统备案，因为这样方便属地公安对系统进行监管。

扩展：在云计算环境中，应将云服务方侧的云计算平台单独作为定级对象定级，云租户侧的等级保护对象也应作为单独的定级对象定级。

背景：一些用户或者同行搞不清等保到底是个什么情况，以为是按照整个单位去做，天真地认为一个单位做一个等保测评就可以。

答：等保测评是按照信息系统来的，以一个信息系统为测评整体，并不是按照一个单位去做的。

扩展：一个完整的信息系统包括承载其的物理机房、服务器、主机、应用、数据库、网络设备及安全设备等，测评除了这些具体的实体对象，还包括相对应的安全管理制度。

背景：一些用户以为做不做等保不要紧，关揵的是不要出网络安全事件，只要不出事都没问题。

答：《中华人民共和国网络安全法》第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：（五）法律、行政法规规定的其他义务。不做等保就属于第五个行为，国内目前已经有公开报道的因没有落实等级保护制度而被处罚的真实案例。所以等保及时去做，不要等。

扩展：网络安全技术发展日新月异，什么叫安全？买什么产品做什么服务就能安全？绝对的安全是不可能的，我们不能百分百保证我们的系统是安全的，但是我们得把我们能做的工作及时做到位，该做的工作做到了，自然也就相对安全了。

背景：不少用户的系统都在单位内网或者专网中，觉得系统不对外相对安全，所以就可以不做等保了。

答：首先所有非涉密系统都属于等级保护范畴，和系统在外网还是内网没有关系；其次在内网的系统往往其网络安全技术措施做的并不好，甚至不少系统已经中毒不浅。所以不论系统在内网还是外网都得及时开展等保工作。

扩展：内网不代表安全，而且现在纯粹的物理内网很少了，大部分或多或少都与互联网有些连接。内网一旦中毒，扩散很快，而且很难清除，因为很多技术措施都没有，几乎在裸奔状态，一旦中毒很容易就跨了。

摘要： 作者：阿里云安全 链接：https://www.zhihu.com/question/59765277/answer/168898617 来源：知乎 著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

“我对大规模杀伤武器是很悲观的，但我认为发生核战争的可能性要低于生化武器与网络攻击。”

谁也不曾想到，巴菲特一周前在伯克希尔哈撒韦股东大会上所说的这番话这么快就变成了真。

5月12日晚，WanaCrypt0r 2.0勒索软件在全球爆发（简称 WCry2.0）。

在无需用户任何操作的情况下，Wcry2.0即可扫描开放445文件共享端口的Windows机器，从而植入恶意程序。

目前，病毒已经扩散至全球上百个国家。全英国上下25家医院遭到大范围攻击，中国众多高校也纷纷中招。黑客则通过锁定电脑文件来勒索用户交赎金，而且只收比特币。

阿里云安全专家分析，此次全球比特币勒索病毒是由NSA泄露的Windows系统 SMB/RDP远程命令执行漏洞引起。

利用该漏洞，黑客可远程实现攻击Windows的445端口（文件共享）。如果系统没有安装今年3月的微软补丁，无需用户任何操作，只要开机上网，黑客即可在电脑里执行任意代码，植入勒索病毒等恶意程序。

考虑到Windows系统 SMB/RDP远程命令执行漏洞的危险性，国内外不少云服务厂商都在4月封掉了445端口。但全球不少个人电脑、IDC物理机房仍存在大量暴露着445端口的机器，这给了黑客可乘之机。

杭州都市快报消息，5月12日晚 11时，下沙高教园区校园网被黑。学生电脑上的资料文档被锁，需要付费才能解锁。目前发现浙传，计量，理工大学……好多校区校园网都被黑了。

阿里云安全专家分析，此次勒索事件在校园网传播速度之快，影响面之大主要原因是当前大部分学校基本是一个大的内网互通的局域网，不同的业务未划分安全区域。例如：学生管理系统、教务系统等都可以通过任何一台连入的设备访问，

同时，实验室、多媒体教室、机器IP分配多为公网IP，如果学校未做相关的权限限制，所有机器直接暴露在外面。

事实上，被攻击的并不止中国的校园网。BBC发布消息称，目前全球范围内有大量的机构报告，受到了“勒索”软件的攻击，这些机构分别在美国、英国、中国、俄罗斯、西班牙、意大利、越南等地。

据CNN报道，英国25家医院周五也因“大规模”的黑客攻击而瘫痪。手术被取消，救护车被迫转向其他医院。

医疗工作者报告说，他们的系统被锁定了，根本进不去。屏幕上有消息显示，要求他们支付“赎金”以重新开启。

针对NSA黑客武器利用的Windows系统漏洞，微软在今年3月已发布补丁修复。

此前，阿里云第一时间发布预警，并推出一键检测修复NSA黑客武器攻击漏洞的工具。

目前，阿里云默认为ECS用户关闭455端口，且默认安装Windows官方补丁。

所有在IDC托管或自建机房有服务器的企业，如果采用了Windows操作系统，立即安装微软补丁。

安全补丁对个人用户来说相对简单。只需自学装载，就能完成止血。

但是对大型企业or组织机构而言，面对成百上千台机器，最好还是能使用客户端进行集中管理。比如，阿里云的安骑士就提供实时预警、防御、一键修复等功能。

可靠的数据备份可以将勒索软件带来的损失最小化。建议启用阿里云快照功能对数据镜像备份，并同时做好安全防护，避免被感染和损坏。

摘要： 《网络安全法》首先对“网络（Cyber）”进行了重新定义，是指“由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统”，而“网络安全（Cyber Security）”，是指“通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力”。

背景：系统上云的情况越来越多，不论是公有云（阿里云、腾讯云、亚马逊云等）还是各类私有云（政务云、内部云平台等）或者就是直接托管到IDC机房，一些客户认为系统已经不在自己机房了，所以系统的相应安全运维就不归自己管了，自然等保工作就不需要做了。

答：根据“谁运营谁负责，谁使用谁负责，谁主管谁负责”的原则，该系统责任主体还是属于网络运营者自己，所以还是得承担相应的网络安全责任，该进行系统定级的还是得定级，该做等保的还是得做等保。

扩展：系统上云或托管后，并不是安全责任主体转移，只是系统所在机房地址的变更，当然在公有云模式下，Iaas、Paas、Saas不同模式相应的安全责任会有些区别，但是并不是没有责任。

基础等保合规解决方案 

基础等保合规产品组合

Web应用防火墙（高级版）：防入侵、防篡改，CC高级防护；

安骑士（专业版）：漏洞管理；基线检查；入侵检测；

态势感知（专业版）：实时监控、漏洞扫描、webshell检测、威胁分析；

证书服务（Globalsign OV通配符）:加密功能,对申请者做严格的身份审核验证,提供可信身份证明

限时优惠 立即购买

数据库审计（专业版）

合规达成：满足外部审计对审计数据内容增量备份和存储时长要求，满足网络安全法对日志数据存储的要求

全量审计：支持对RDS云数据库、ECS自建数据库的审计，最大程度的满足云上用户数据库审计需求

快速识别：可实现99%+的应用关联审计、完整的SQL解析、精确的协议分析

高效分析：每秒万次入库、海量存储、亿级数据秒级响应

专业版支持3个数据库实例

限时优惠 立即购买

堡垒机（企业版）

审计合规：满足《萨班斯法案》、金融监管、《等级保护》的审计要求

高效易用：管理界面简洁易用，可快捷同步当前云帐号中的ECS列表

多协议支持：支持SSH、Windows远程桌面、SFTP等常见运维协议

追溯回放：追溯运维操作的的故障，在线回放操作的记录

企业版支持100资产，100并发会话

限时优惠 立即购买

先知 . 等保合规服务

专业：阿里云联合各省市有资质的等保测评中心，为您提供专业测评服务。

省心：帮助云上、云下企业快速过等保。您只需要一键申请，剩下的事情交给阿里云。

现场服务：等保测评中心为您量身定制测评方案，现场进行测评

一站式：就测评中发现的安全问题，阿里云为您提供一站式的安全解决方案。

立即申请

增强合规架构

  

背景：一些人以为等级保护工作主要就是对系统进行定级备案，然后做个测评就可以了。

答：等级保护工作不仅是一个测评而是包含：定级、备案、测评、建设整改和监督审查五项内容，测评只是其中一项。

扩展：测评只是开始，更重要的是我们通过测评寻找出差距，分析出目前我们的系统存在的风险，及时查漏补缺，进行安全建设整改，提高信息系统的安全防护能力，降低系统受到攻击破坏的概率。

背景：一些客户以为等保测评只要做过一次就行了，以后就不用做了。把等保工作当成一个形式当成应付工程去做。

答：等保工作是一个持续的工作，等保测评也是一个周期性的工作，三级系统要求每年做一次，四级系统每半年做一次，二级系统部分行业明确要求每两年做一次，没有明确要求的行业建议大家两年做一次测评。

扩展：做等保测评不应当抱着应付的心态去做，如果大家的系统真能按照等级保护的要求去做好，那么你的系统安全防护水平还是很高的。做了等保，一方面是合规，更多的是切切实实协助我们做好单位的网络安全工作。

背景：一些客户担心系统定级定高了后期给自己工作增加麻烦，一方面等级高了，技术要求高了，需要做的工作多了；另一方面三级系统需要每年都做测评，也觉得麻烦。所以想着系统定个二级就可以了，自己省事。

答：首先系统到底定几级是根据受侵害的客体以及对客体侵害的程度来确定的，是以事实为根据，而不是拍脑袋决定的。系统等级定低了，乍一看可能工作上是容易做了，但是反而是我们没有落实好网络安全保护义务的直接表现，系统等级低了相应的安全防护要求也低了，那么万一你的系统不小心被攻击破坏造成一定不良影响，在主管部门进行责任认定追查时，很有可能就会因为系统定级不合理，安全责任没有履行到位而被处罚。得不偿失，还是安安稳稳把自己该做的工作做好。

扩展：系统定级按照等保1.0的要求是自主定级，有主管部门的需要主管部门审核，最终报送公安机关进行审核。所以定级并不是想定几级就定几级的。预计今年会发布的等保2.0里定级流程新增了“专家评审”和“主管部门审核”两个环节，这样定级过程将会变得更加规范，定级也会更加准确。

背景：一些客户会觉得系统定了级以后相关主管单位就会不时地来安全检查了，给自己的工作增加了麻烦，被人管的感觉很不好。

答：所有非涉密系统都属于等级保护范畴，没有定级不代表不需要被监管，相反如果没有被纳入监管，反而会比较危险，哪天出了事就比较难收拾残局。定级后或者被监管，主管单位会在重点时刻对我们的重要信息系统进行一定扫描及保护，会及时告知发现的一些问题，避免发生网络安全攻击事件；同时一些重要的政策要求或者行业会议，也会通知你们过来参会，方便大家及时了解最新的网络安全形势，有利于大家开展好网络安全工作。

扩展：做了等保后，主管单位并不一定会对你们单位做相关安全检查，单位很多，重要的系统很多，主管单位也有自己的一些统一安排，到底会不会对你们检查取决于很多因素，但是一般单位可以不需要有这些顾虑。来检查是好事，可以及时发现问题，督促指导大家开展好网络安全工作。

安全等级保护的对象包括网络基础设施（广电网、电信网、专用通信网络等）、云计算平台/系统、大数据平台/系统、物联网、工业控制系统、采用移动互联技术的系统等.

5月13日，网络安全等级保护技术2.0版本（简称等保2.0）正式公开发布，等保2.0覆盖工业控制系统、云计算、大数据、物联网等新技术新应用，为落实信息系统安全工作提供了方向和依据。下面就带您了解一下何为等保2.0。

一、等级保护是什么

网络安全等级保护是国家信息安全保障的基本制度、基本策略、基本方法。网络安全等级保护工作是对信息和信息载体按照重要性等级分级别进行保护的一种工作。信息系统运营、使用单位应当选择符合国家要求的测评机构，依据《信息安全技术网络安全等级保护基本要求》等技术标准，定期对信息系统开展测评工作。

二、为什么要做等级保护

（一）法律规章要求

《网络安全法》明确规定信息系统运营、使用单位应当按照网络安全等级保护制度要求，履行安全保护义务，如果拒不履行，将会受到相应处罚。

第二十一条规定：

第三十八条规定：

第五十九条规定：

（二）行业要求

在金融、电力、广电、医疗、教育、交通等行业，主管单位明确要求从业机构的信息系统要开展等级保护工作。

（三）企业系统安全的需求

信息系统运营、使用单位通过开展等级保护工作可以发现系统内部的安全隐患与不足之处，可通过安全整改提升系统的安全防护能力，降低被攻击的风险。

三、等级保护涉及范围

（一）省辖市以上党政机关的重要网站和办公信息系统；

（二）电信、广电行业的公用通信网、广播电规传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统；

（三）铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统。

四、等级保护发展历程

1994年，《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）规定，“计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”，等级保护制度正式被提出。

2016年10月，公安部网络安全保卫局对原有国家标准《信息安全技术信息系统安全等级保护基本要求（GB/T 22239-2008）》等系列标准进行修订。2017年6月，《网络安全法》正式出台，信息安全等级保护过渡到网络安全等级保护，法规明确要求国家实施等保制度。2019年5月，随着《信息安全技术网络安全等级保护基本要求（GB/T 22239-2019）》《信息安全技术网络安全等级保护测评要求（GB/T 28448-2019）》等标准的正式发布，标志着等保2.0全面启动。

五、等保1.0与2.0对比

等保2.0将原来的标准《信息安全技术信息系统安全等级保护基本要求》改为《信息安全技术网络安全等级保护基本要求》，与《中华人民共和国网络安全法》中的相关法律条文保持一致。

等保2.0调整各个级别的安全要求为安全通用要求、云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求和工业控制系统安全扩展要求。

六、等级保护实施过程

等保2.0将落实到系统建设全生命周期的每个环节，从系统定级、系统备案、建设/整改、等级测评、再到监督与检查，每一环节都需要系统运营、使用单位重点留意。

七、等保2.0的测评内容

等级保护测评分为安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全人员管理、安全建设管理、安全运维管理十个层面。

部分企业有加密整个文件夹的需求，认为这样加密更便捷，这里给大家简单介绍下IP-guard对加密文件夹的功能。

在部署了IP-guard的客户端上拖动加密文档到指定的文件夹时，加密文件会自动加解密，可以对单个计算机、计算机组或整个网络设置策略，灵活方便。大多数公司部署IP-guard加密客户端后，所有文件都处于加密状态，对于需要明文外发的文件，则集中通过某个客户端进行，为了避免每次都要进申请审批，可以将制定的文件夹设置为解密文件夹，那么只要将加密文件拖入该文件夹，就会自动解密。

工欲善其事，必先利其器。很多人知道加密是目前最强效有力的企业数据防泄漏武器，但你是否真的了解加密这把武器，如何才能选择到一款最适合自身的武器呢？其实评估加密系统是否优秀有六大标准，如果你正打算购买或者已经部署加密系统，不如参考以下六大标准，看看你的加密武器是否足够给力：

标准一：加密技术是否稳定可靠，保障系统运行

武器是用来防身的，但是武器本身也可能成为一种风险，一件好的武器，应该在将防御性能发挥到极致的同时，将自身的风险系数降到最低。加密作为信息防泄露的利器，其最基本的标准就应该在最大程度保护企业信息安全的同时，将发生故障的概率降到最小。目前加密技术主要分为驱动层加密与应用层加密，两种加密方式各有优势。但从稳定性的角度而言，后者发展得更为成熟，因此略胜一筹。

标准二：加密模式是否具有弹性，满足不同需求

为了最大程度地求得安全，企业往往会选择强制加密。但部署加密的区域并不是一个完全封闭的系统，它需要与其他部门进行交流，此时单一的强制加密反而成为业务开展的障碍。企业在选择加密系统的时候应该将安全与业务流程进行综合考虑，所以是否具有弹性的加密模式也成为考量的一大标准。

标准三：加密管理范围是否全面，覆盖各种应用场景

企业常见的数据应用场景包括内部各终端的使用、内部应用服务器的集中管理、外发给合作伙伴使用与公司员工离线使用。可以说，要想保护信息安全，就必须对这几个方面进行全面管理。虽然不是每个企业都会覆盖到这四个方面，不过企业在选择加密系统时最好确保对方有能力为用户提供充分的选择权利。

标准四：功能是否丰富实用，实现精细化管理

信息防泄露要想收到良好的效果，必须考虑精细化管理。如果对所有数据设置单一安全策略，那必将对业务的开展造成巨大的阻力，结果必然保效率弃安全，无法持续进行。因此企业在选择加密系统时要确保其功能足够丰富与实用，能够满足自己的实际需要。

标准五：灾备方案是否足够完善，确保有备无患。

灾备机制是一个加密系统是否值得信赖的重要考量标准。首先无论一个系统如何强大，也不能保证它百分之百不会出问题；其次一些人为的失误，也可能造成对关键信息的伤害；再者风云难测，企业还可能会遭受一些不可抗的因素，这些都需要企业对重要数据做好备份，有备无患才是真道理。

标准六：综合考量加密厂商实力，确定是否值得信赖。

考量产品的同时还需综合考量厂商实力，即使产品功能满足需求，若企业的实践经验或者服务能力不足，也会导致加密项目受阻甚至失败。

CPU得支持虚拟化。第三方服务器安装HCI，虚拟存储数据的盘的转速要求7200以上，建议转速一致

如果需要使用虚拟存储：
1、授权要求：企业版HCI开通虚拟存储授权,且授权CPU核心数需大于集群内所有主机CPU核心数之和；如果是使用标准版,则可以试用60天
2、磁盘：服务器如果SATA接口充足,则无需RAID卡,直接将所有磁盘内置到服务器主板上；如果使用RAID卡,建议把RAID配置为JBOD模式（即直通模式）
必须有不小于128G的SSD盘做缓存盘，缓存盘和数据盘的比例不小于1:4
3、多台服务器做集群并启用虚拟存储时,要求各主机的磁盘数量、容量均一致