上云之后，边界防护大部分交给了云平台的安全组和网络 ACL，但勒索真正难防的部分在内部——VPC 之间的横向移动、实例被攻陷后的数据外传、备份被删除。这些恰恰是安全组管不到、需要运维自己补可见性的地方。这篇按云场景拆勒索防御的落地要点。

云上资产暴露面大、弹性强，攻击者的路径和本地数据中心不太一样：常见入口是暴露在公网的管理端口、弱口令的跳板机、被投毒的镜像或依赖。进来之后，攻击者往往先摸清 VPC 结构、找高权限的实例和密钥，再横向扩散、打包数据、破坏备份。安全组能挡住南北向的非法访问，但对"已经拿到合法凭据"的攻击者几乎无效——他会用合法通道做非法的事。

二、云上能观测什么：三条数据源

第一条是主机与实例指标：CPU、内存、磁盘 IO、网络进出、连接数。成本最低、覆盖最全，加密和批量读写在这里最明显。第二条是流日志：能拿到实例间会话的五元组与字节数，是判断横向移动和外传的主力。第三条是备份与变更事件：备份任务状态、快照操作、配置变更，用来发现"恢复链路被动过"。三条互补，缺一条就会有一个阶段失明。

三、东西向：VPC 互访才是主战场

本地数据中心通常是出口最拥堵，云上往往相反——服务间调用、跨可用区复制、跨 VPC 访问这些东西向流量才是大头，而它们不经过互联网出口，传统出口监控完全看不见。落地要点：把 VPC 间互访、跨可用区复制、专线互访三类链路分开建基线；验收标准是能回答"哪个实例在频繁访问哪个实例、新建连接数有没有突增"。横向移动只有东西向可见性建立后才谈得上发现。

四、前置信号在云上的对应指标

加密阶段看实例的 CPU 与磁盘写入是否同步陡增；外传阶段看出向流量是否在非工作时段持续、是否指向单一外部地址；横向移动看实例间新建连接是否突增、目标端口是否高度分散；破坏恢复看备份任务是否连续失败、快照是否被删。单看一个都可能是正常业务，组合起来才定向。基线要感知弹性：扩缩容与定时任务是计划内变化，接白名单，不进基线不告警。

云上自动化比本地更容易落地：检测到异常后可以通过云 API 打标、限速、隔离安全组、快照取证、触发工单。但便利也意味着风险：一条错误的自动化规则可能批量隔离生产实例。稳妥做法是分级——低风险动作全自动，隔离与阻断类动作先建议、人工确认后再通过 API 执行，全部留痕可回滚。自动化的目标是压缩发现到干预的时间，不是把判断也交出去。

六、备份与恢复：云上更容易，也更容易被忽视

云上做备份很方便，反而容易"以为做了就安全"。三个要点：一是监控备份本身——备份任务成功率、快照完整性、备份策略是否被改；二是防"备份被删"——攻击者进内网常先动恢复链路，备份账号权限要最小化、快照要异地或不可变存储；三是定期演练恢复并计时，验证恢复时间目标能否兑现。备份只解决有没有副本，灾备解决能不能按时恢复，两件事别混。

网络日志留存不少于六个月是硬要求。云上做这件事有成本优势：对象存储的冷数据很便宜。实务三点：只留元数据（五元组、字节数、时间戳）不留内容，隐私和成本一起控住；分层存储，近期可查、历史归档；容量在方案阶段估算，别等审计来了才发现只留了两周。

第一个月补可见性：关键 VPC 开流日志、核心实例指标全覆盖、备份状态进面板。第二个月建基线与组合规则：按业务时段建性能基线，把四类前置信号的组合规则配上，先只报不联动。第三个月连响应：告警分级、自动化分级上线，做一次恢复演练并计时。

九、度量：三个指标判断防线是否有效

防线建完要能自证。三个指标：告警压缩比，原始告警数除以通知到人的数量，十比一是常见目标；平均确认时长，从异常发生到人确认的时间；误报率，处理后判定无需动作的比例。三个一起看才不失真：只压量不看误报会把真问题压掉，只追时长不看压缩比会被通知洪水冲垮。上线前先采两周基线，口径写进文档。

还有一个容易被忽略的度量和恢复有关：最近一次恢复演练的实际时长，和承诺的恢复时间目标差多少。这个差距比任何检测指标都更能说明业务连续性到底守不守得住。

Q1：云上有安全组了，还需要自己监控吗？

需要。安全组挡的是非法访问，挡不住"用合法凭据做非法事"。横向移动、数据外传、备份被删都发生在合法通道里，只能靠行为可见性发现。

按采集范围和聚合粒度控制：出口和关键 VPC 全开，非核心只留聚合指标；冷数据进对象存储，成本可预估。

Q3：弹性伸缩导致流量跳变怎么避免误报？

伸缩事件接白名单，基线按单实例归一建模，两件事都做。

权限最小化，备份与生产账号隔离，快照存到不可变或异地存储；监控备份任务与策略变更，异常即告警。

先开关键 VPC 的流日志、把核心实例指标和备份状态接进来，一个月内可见性就能见效。

云上勒索防御的关键词是：东西向优先、三条数据源互补、组合信号定向、自动化分级、恢复要演练——安全组守边界，运维守行为，两者缺一不可。

勒索软件攻击激增，企业如何守住业务连续性？从运维视角看主动防御体系建设

安全

云上勒索防御关键在东西向流量监控，需整合主机指标、流日志、备份事件三条数据源，组合CPU与磁盘写、出向流量、连接突增等信号。自动化分级管控，备份防删与恢复演练并重，三个月内建立可见性、基线及响应机制。

对象存储

弹性伸缩

数据中心

灾备

2026上云采购 | AI焕新·智启新局

tcpm

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

勒索软件攻击激增，企业如何守住业务连续性？从运维视角看主动防御体系建设

勒索软件攻击激增，企业如何守住业务连续性？从运维视角看主动防御体系建设

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐