【项目背景】
上周五晚上10点半，我手机响了，是青山一家做稀土贸易的公司老板，声音都劈了："杨工，我办公室三台电脑全弹勒索窗口了，文件全变成 .lock 后缀，双击打不开，说要付 0.5 个比特币！"我让他先别乱点、别重启，直接把内网交换机断电。第二天一早我带人赶到稀土大厦对面那栋写字楼，一看就明白了——财务那台机器中了 WannaCry 变种，通过 SMB 445 端口在内网横向扩散，三台机器两小时全沦陷。
包头做贸易、做制造的企业不少，老板们天天盯着订单和账，IT 安全这块基本是裸奔。数据被锁、生产停摆，比丢钱还疼。
【咨询设计】
先救火再谈防御。我做的第一件事不是重装系统，而是隔离+恢复：把感染机器的网线全拔了，用 H3C 一台 S5560X 三层交换机划了个临时 VLAN 把财务网和办公网物理隔离开，避免继续扩散。数据恢复走的是 3-2-1 原则——本地一份、异机一份、离线一份，这次幸好老板的账套在 NAS 里有一份每周备份，才没真去跟勒索软件谈价钱。
我跟老板讲透了一句话：勒索病毒防不住"进"，就要防住"锁"。核心是两点：一是把内网按业务分域，别让一台机器中病毒就全公司陪葬；二是关键数据必须有离线备份，断网状态下病毒摸不到。
【施工规划】
方案定了就动手。这次改造分三步走：
第一步，网络分域。用 H3C S5560X 做核心，下挂 H3C S5130S 做接入，把财务、生产、办公划成三个独立 VLAN，VLAN 间走 ACL 严格放行，445/135 这些高危端口默认全关，只留白名单。
第二步，端点加固。三台核心服务器和 20 台办公终端统一部署防勒索引擎，开启 SMB 签名，关掉不必要的远程桌面。所有终端走 802.1X 认证，没认证的设备连网都插不上，从源头掐掉"随便插根线就进内网"的漏洞。
第三步，备份落地。财务服务器配了一台群晖 DS923+ NAS，走 Cat6A 万兆链路做每日增量+每周全量备份，最关键的一份每周转存到一块离线移动硬盘，物理断电存放。这样就算内网被扫平，离线那份永远干净。
【安全补丁】
网络分域是骨架，密码合规是肌肉。这次我们顺手把财务系统做了商用密码改造，核心账务数据的存储和传输都换成了 SM4 加密算法、SM2 做签名认证，符合国密合规要求，后面查账、审计都经得起第三方检测。另外我给全公司做了一轮渗透测试，用工具扫出来 3 个开放的高危端口和 2 个弱口令，全部当场整改。老板问我花这钱值不值，我说：这次要是没备份，你付的 0.5 个比特币够买十套这样的防御了。
【验收交付】
交付前我们做了一轮"红蓝对抗"——我自己当攻击方，用一台装了勒索样本的机器插进办公网，实测 5 分钟内被 802.1X 拦在门外、被 ACL 挡在财务域外，没再横向扩散。老板亲自在场看着，这才放心签字。整套方案从隔离救火到分域加固，四天完工，账套数据一条没丢。
【售后承诺】
包头本地团队，不玩虚的。2 小时响应，昆区、青山区、九原区、东河区、高新区全境随叫随到。这套防御方案我们做 12 个月质保，季度巡检一次，端口、备份、补丁状态全给你盯住。半夜再弹勒索窗，直接打 17704868686，杨工给你守着。
【不辱昼夜技术 · 包头IT全生命周期服务】
业务全闭环： 咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的： 包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴： 5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域： 昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线： 17704868686（本地专业团队，不辱昼夜为您守候！）