服务器被勒索病毒盯上的 6 个信号：事前加固比事后响应便宜得多

等勒索病毒把数据库加密了再找供应商，响应费 + 恢复费 + 停业务损失，通常是事前加固成本的 10 倍以上。判断要不要做加固，别凭感觉，对着下面 6 个信号自查，中 3 个以上就该动手了：

1. 高危端口全网暴露：3389/5985/445/数据库端口直接对公网开放，没有白名单。用 nmap 扫一下自己服务器，扫出来的结果就是攻击者眼中的菜单。
2. 弱口令与共享账号：还在用 8 位字典密码、运维共用一个 root、第三方远程方便地留着账户。勒索团伙第一步永远是拉一把弱口令字典试水。
3. 补丁停留在有空再打：RDP 相关 CVE 从披露到在野利用平均只有几天，季度打补丁的节奏天然赶不上。
4. 备份没做过恢复演练：有备份和备份能恢复是两回事。备份不能在一小时内完整还原，等于没有备份。
5. 终端无任何基线管控：办公电脑随意装绿色软件、U 盘直插、脚本无人审核——Windows 终端才是勒索真正落地的跳板。
6. 安全事件零感知：没有日志聚合、没有告警，等发现是业务报障说文件打不开了。事中发现的勒索，黄金响应窗口只剩小时级。

对应的事前动作其实不复杂：高危端口加访问控制与认证收敛、强制口令策略 + 账号最小化、补丁 SLA 压到 72 小时内、备份按天 + 异地 + 季度演练三条腿、终端上 墨盾卫士 这类轻量前置加固工具把可疑进程先管住。需要有人系统性把这些事做掉并长期盯着的，可以看 网络安全服务 里的前置加固与安全运维方案；想自己搭能力体系的，联系我们 聊一次现状评估，不收费。