华为云上被勒索病毒“擦肩而过”后的复盘：安全组、HSS 和 CBR 到底怎么串起来用

上季度我们一个托管在华为云上的业务节点触发了 HSS（企业主机安全）的勒索病毒告警，安全团队半夜起来处置，最终确认是虚惊一场——一个运维脚本的批量加密行为被 HSS 的勒索行为检测模型误判了。但这次“擦肩而过”让我们认真盘了一遍云上的勒索防护配置，发现原来只开了 HSS 基础版，安全组规则宽得能跑马，快照备份也全靠手工。花了两周把整套纵深防御串起来之后，心里才真正有底。

一、 勒索攻击在云上的典型入口，往往不是“病毒很厉害”

复盘下来，云上勒索的入口高度集中：暴露端口的弱口令爆破、未打补丁的应用漏洞、以及过宽的安全组规则。我们检查了自己的安全组，发现除了 80/443，居然还留着一个对 0.0.0.0/0 开放的 3389 端口，是之前临时调试远程桌面时开的，一直没收回。这个口子就是典型的“自己递刀子”。

第一刀先砍安全组：默认拒绝所有入站，只按最小必要放行。3389 立刻收回，管理类端口只允许堡垒机的固定 IP 段访问，业务端口只放行 WAF 回源 IP。安全组是云上的第一道网络边界，规则越简洁越好，临时放行的规则必须设到期提醒。

二、 HSS 不是“开了就行”，勒索防护要单独配

HSS 的基础版主要覆盖入侵检测和病毒查杀，但勒索病毒防护需要单独开启并配置策略。在控制台的“主机防御 > 勒索病毒防护”里，可以选择需要防护的服务器，配置勒索进程识别和加密行为阻断规则。我们把它和安全组联动使用：HSS 检测到勒索行为时，除了阻断进程，还会自动下发网络隔离策略，把受感染主机的东西向和南北向流量同时切断，防止横向扩散。这比单纯“杀进程”多了一层隔离，对勒索这种追求快速加密和横向传播的攻击类型尤其关键。

另外，HSS 的弱口令检测和漏洞管理也要定期跑。勒索团伙最喜欢的就是“一个弱密码打穿一片”，云主机如果还在用 root/123456 或者长期不轮换的数据库密码，HSS 的基线检查会直接标红。

三、 CBR 快照：最后一道防线，但别用手工快照

安全防护没有 100%，勒索防护的最后兜底是备份恢复能力。我们一开始用的是 ECS 控制台的手工快照，想起来才点一下，快照保留策略也没有，真出事的时候很可能“最近的快照是三天前的”。后来统一切到了云服务器备份（CBR） ，配置每日自动备份，保留周期 7 天，并且对核心数据盘开启了应用一致性备份。

CBR 相比手工快照的优势在于：自动化、可策略化、支持整机恢复。勒索病毒加密完成后，手工逐个磁盘回滚快照既慢又容易遗漏依赖关系，CBR 的整机恢复可以在分钟级把一台干净的服务器拉起来。华为云的多层联动方案里也强调“快照备份不可篡改”，配合对象锁或备份 vault 的 WORM 能力，防止攻击者连备份一起加密。

四、 串联起来的纵深：网络边界 → 主机检测 → 备份兜底

最终的配置链路是这样的：安全组做网络层最小权限 → HSS 做主机层勒索行为检测和自动隔离 → CBR 做数据层自动备份兜底。三层各管一段，任何一层被绕过，下一层还有兜底。HSS 的勒索检出率在华为云方案中标注为 99%，但真正让人安心的不是某一个产品的检出率数字，而是安全组收窄之后攻击面变小了、HSS 告警之后有自动隔离动作、CBR 保证了哪怕全盘加密也能在小时级恢复这套组合拳。

五、 总结

云上防勒索不是买一个产品就完事。先把安全组里不该开的口子关掉，这是成本最低、收益最高的一步；再把 HSS 的勒索防护和自动隔离配起来，让检测之后有动作；最后用 CBR 的自动备份守住底线，确保最坏情况下有干净的恢复点。三层串起来，才谈得上“纵深”。