勒索防护：共享目录与备份的权限设计

勒索软件要加密你的文件，前提是拿到写权限。所以防护的重点不在杀毒两个字上，而在权限设计：让业务账号碰不到备份，让备份账号删不掉历史。 备份账号单向写 备份任务专用的账号，权限只给写入和读取，不给删除、不给改权限——NTFS 高级权限里可以精确到只勾"创建文件/写入数据"和"读取数据"。更进一步的做法是备份目的端用单独的存储或独立账号体系，和业务域隔离，业务机被攻破时对方拿不到备份端的凭据，自然摸不到备份。权限清单要定期核对：账号调整、软件升级都可能悄悄把权限放大，每季度过一遍。 快照与卷影副本 快照是比备份更快的一道保险。存储层开启定期快照，保留至少七天，加密发生后从上一个快照点直接恢复，不需要和勒索者纠缠。注意保留窗口要覆盖"发现感染"所需的时间：如果一周后才发觉中招，只留三天的快照等于白留。Windows 自带的卷影副本（VSS）也能当轻量快照用：共享目录所在卷开启系统保护，配额给足，之后在共享属性的"以前的版本"里就能翻回历史副本，用户自己就能恢复昨天的文件；vssadmin list shadows 可查现有副本，计划任务每天跑两次最省事。 最小共享范围 共享目录能不开就不开：能用域账号认证就不用 Everyone；能按组授权就不按个人；跨网段访问的共享，在防火墙上只放行需要的网段。定期清点本机开放的共享，net share 一条命令列出 SMB 共享，Get-SmbShare 输出更细，长期无人使用的及时关闭，C$、D$ 这类管理共享用不上也一并收紧。共享范围每小一圈，风险面就小一片。共享给谁、给什么权限，登记成一张表，半年核对一次，表上没有的共享就是多余的。 最后一条经验：权限和备份做完，务必演练一次真实恢复。恢复不出来或者要花三天才能恢复的备份，效果上等于没有备份，这次演练也会顺手暴露权限设计里的漏洞。