内网终端防勒索实践：浅谈可信进程驱动的文档防护模型

引言

勒索攻击已经从过去大规模互联网蠕虫，演变为高度定制化、变种快速迭代的攻击模式。攻击者通过加壳、混淆、代码变形，短时间内批量生成全新恶意样本，传统基于病毒特征库的杀毒软件很难第一时间捕获新型威胁。

很多单位部署了杀毒、EDR 产品，但依然面临风险：一旦遇到未入库的未知勒索变种，终端内合同、图纸、财务报表、设计源码等高价值文档就会被批量加密。 不少企业把全部希望寄托于备份，但现代勒索攻击链中，攻击者会优先尝试删除卷影副本、销毁本地备份，单纯备份只能作为最后兜底手段，不能当做唯一防护手段。

在内网政企、科研、制造场景，终端数量庞大，业务软件复杂，又不能为了安全过度影响员工正常办公。于是一种反向防护思路逐渐被广泛采用：不去识别谁是恶意程序，而是只放行已知可信程序访问核心文档资源，也就是文档防火墙防护理念。

1 传统防勒索方案的现实短板

我们先梳理当下主流防护手段存在的局限，便于理解文档防火墙的设计出发点。

1. 特征码杀毒：对未知变种基本无效 传统杀毒依靠病毒样本库匹配，只有样本被安全厂商捕获、分析、入库之后，才能够查杀。攻击者批量加壳改特征之后，就可以绕过检测，零日勒索威胁直接穿透防护。
2. EDR 行为检测：存在误报与逃逸空间 EDR 依靠行为基线识别批量加密、文件篡改等恶意行为。但业务场景复杂，部分合法业务软件也会存在批量改写文件，容易产生误告警；同时攻击者可以通过延迟加密、拆分加密动作等手段规避行为特征识别。
3. 仅依靠备份：属于事后补救，不能阻止加密发生 备份可以在被加密之后恢复数据，但无法阻止加密行为本身。如果备份介质也被恶意程序访问销毁，则会出现业务数据与备份同时受损。同时双重勒索模式下，就算恢复文件，数据泄露风险依旧存在。

总结：特征库查杀、行为检测、备份三者各有价值，但单独使用均存在短板。理想的防护架构，应当做到：事前拦截异常访问、事中留存完整事件、事后备份可恢复，三者形成闭环。

文档防勒索闭环防御架构

2 文档防火墙防勒索：核心技术逻辑

这套防护理念已有落地实现，迪康终端安全管理系统文档防勒索模块，便是该防护思路的工程化实践。整套能力划分为三层：可信程序访问控制、多模式文档备份兜底、全链路事件审计溯源。

文档防火墙的核心思想：保护文档资源本身，对访问文档的进程做身份校验，而不是单纯去判断进程是否为病毒。 不管程序是不是新变种、有没有病毒特征，只要不在可信程序列表内，就不允许它对受保护文档执行改写、加密、覆盖等高危操作。

2.1 可信程序访问控制（文档防火墙核心）

系统维护可信程序特征库，通过进程名、文件厂商、数字签名、程序指纹多维标识合法业务程序，例如 Office、WPS、CAD、财务业务软件等。

1. 定义需要重点保护的文档后缀集合，覆盖办公文档、图纸、报表源码等核心资产；
2. 当进程尝试打开、修改、重命名、删除受保护文档时，底层拦截模块校验进程身份；
3. 可信白名单内程序，允许正常读写文档，员工业务操作无感知；
4. 陌生、未授信的进程，执行高危改写操作直接阻断，同时上报告警事件。

关键点：该防护不依赖病毒样本，面对从未见过的新型勒索变种，只要该程序不在可信列表，就直接阻止其加密文档行为，弥补特征查杀对未知威胁的短板。

当然纯白名单也存在局限：攻击者可以尝试对合法可信进程进行注入，以此绕过访问控制。因此该模块会结合进程行为做辅助校验，当可信进程出现异常批量改写大量文档的行为，同样会触发告警，规避进程注入类逃逸手段。

2.2 分层文档备份：构建最后一道数据兜底防线

拦截不能做到 100% 万无一失，备份依然是不可缺失的兜底能力，但需要和普通文件夹备份做区分。 文档防勒索配套的备份机制特点：

• 触发时机：文档发生修改、删除动作时自动触发备份，小于指定大小的文件支持同步备份至管理服务器；
• 可配置备份保留份数，避免磁盘被备份文件占满；
• 备份文件独立隔离，限制普通业务进程访问备份目录，降低恶意程序销毁备份的风险；
• 当少量文档出现损坏加密，可以从本地或服务器备份中找回原始文件，降低业务中断损失。

注意：备份是兜底，不是替代拦截。不能认为开启备份就可以忽略访问拦截能力。

2.3 防勒索事件审计：完整攻击链取证留存

安全事件发生之后，溯源取证是处置关键。文档防勒索会完整记录全部相关事件：

• 触发事件的进程信息：进程名、版本、厂商、程序指纹；
• 操作对象：被访问的文档路径、文件后缀；
• 事件结果：是放行访问，还是被系统拦截；
• 发生时间、所属终端、操作人员上下文信息。

全部日志统一汇总至管控平台，管理员可以查看全网防勒索日志，导出审计记录。一旦发生安全事件，可以快速定位是哪台终端、哪个进程、什么时间发起的异常文档访问，支撑安全事件研判、应急处置，同时可以满足等级保护、保密检查的审计留存要求。

3 适合的业务落地场景

这套文档防火墙防护模式，尤其适配内网政企、科研院所、设计制造、财务机构等场景：

1. 保密内网环境 物理隔离内网，互联网杀毒云库无法更新，传统杀软对新型威胁防护能力下降。文档防火墙不依赖外网病毒库，在内网离线环境也可以稳定工作，保护标书、涉密图纸等核心文档。
2. 终端数量庞大的办公内网 大量办公终端，业务软件种类繁多，EDR 行为检测容易产生海量告警，增加安全人员运营负担。文档防勒索聚焦文档资源防护，告警收敛度更高，减少无效告警干扰。
3. 设计、研发、财务部门 终端存储大量图纸、源代码、财务凭证等高价值文件，一旦被加密会直接造成业务停滞。作为杀毒、EDR 之外的补充防护层，形成纵深防御。

在物理隔离内网环境，杀毒云库无法更新，传统查杀能力受限，类似迪康终端安全管理系统这类内网终端安全平台，无需依赖外网威胁情报，可直接运行于离线内网环境完成文档防护。

重要定位说明：文档防勒索属于纵深防御的重要补充，不是完全替代杀毒 / EDR。生产环境最佳实践是杀毒 + EDR 威胁检测 + 文档防火墙防勒索 + 常规备份多套体系叠加，多层防护降低风险。

4 该方案的能力边界与注意事项

任何安全技术都存在边界，在项目落地时需要客观看待：

1. 它主要防护本地文档被未知程序批量加密篡改，无法抵御合法业务程序自身的漏洞；
2. 可信程序白名单需要持续维护，业务上线新软件时，需要把合法程序加入授信列表，否则会出现业务软件无法保存文件的误拦截；
3. 不能防御已经获取到合法进程注入权限的高级攻击，需要搭配系统加固、补丁管理、权限管控共同形成防护；
4. 不能解决已经被加密的历史文件，作用是阻断正在发生的加密行为，防止事态扩大。

5 总结

勒索对抗本质上是攻防的持续博弈，攻击者不断变换样本与攻击手段，单一安全产品很难实现全部威胁防御。 传统思路是 “努力识别坏人”，而文档防火墙换了一个思路：牢牢保护核心资产，只允许经过确认的 “好人” 触碰文档，在未知变种威胁面前形成一层重要的防护屏障。 结合访问拦截、隔离备份、事件审计，构建 “拦得住、存得下、查得到” 的闭环，作为终端纵深防御体系中重要一环，守护内网终端文档资产安全。